# Az Európai Unió L 119/2016

| | ISSN 1977-0731 |
| --- | --- |
| Az Európai Unió
  Hivatalos Lapja | L 119 |
| | |
| Magyar nyelvű kiadás | Jogszabályok | 59. évfolyam2016. május 4. |

ISSN 1977-0731

Az Európai Unió

Hivatalos Lapja

L 119

Magyar nyelvű kiadás

Jogszabályok

59. évfolyam2016. május 4.

---

| Tartalom | | I   Jogalkotási aktusok | Oldal |
| --- | --- | --- | --- |
| | | RENDELETEK |
| | * | Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) (
  1
  ) | 1 |
| | | IRÁNYELVEK |
| | * | Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről | 89 |
| | * | Az Európai Parlament és a Tanács (EU) 2016/681 irányelve (2016. április 27.) az utas-nyilvántartási adatállománynak (PNR) a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és a vádeljárás lefolytatása érdekében történő felhasználásáról | 132 |

Tartalom

I   Jogalkotási aktusok

Oldal

RENDELETEK

*

Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) (
  1
  )

1

1

IRÁNYELVEK

*

Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről

89

*

Az Európai Parlament és a Tanács (EU) 2016/681 irányelve (2016. április 27.) az utas-nyilvántartási adatállománynak (PNR) a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és a vádeljárás lefolytatása érdekében történő felhasználásáról

132

| | |
| --- | --- |
| | (1)   EGT-vonatkozású szöveg |

---

(1)   EGT-vonatkozású szöveg

1

| HU | Azok a jogi aktusok, amelyek címe normál szedéssel jelenik meg, a mezőgazdasági ügyek napi intézésére vonatkoznak, és rendszerint csak korlátozott ideig maradnak hatályban.
  Valamennyi más jogszabály címét vastagon szedik, és előtte csillag szerepel. |
| --- | --- |

HU

Azok a jogi aktusok, amelyek címe normál szedéssel jelenik meg, a mezőgazdasági ügyek napi intézésére vonatkoznak, és rendszerint csak korlátozott ideig maradnak hatályban.

Valamennyi más jogszabály címét vastagon szedik, és előtte csillag szerepel.

---

I Jogalkotási aktusok

RENDELETEK

| 2016.5.4. | HU | Az Európai Unió Hivatalos Lapja | L 119/1 |
| --- | --- | --- | --- |

2016.5.4.

HU

Az Európai Unió Hivatalos Lapja

L 119/1

---

AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE

(2016. április 27.)

a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet)

(EGT-vonatkozású szöveg)

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 16. cikkére,

tekintettel az Európai Bizottság javaslatára,

a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,

tekintettel az Európai Gazdasági és Szociális Bizottság véleményére (1),

tekintettel a Régiók Bizottságának véleményére (2),

rendes jogalkotási eljárás keretében (3),

mivel:

| (1) | A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. |
| --- | --- |

(1)

A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

| (2) | A természetes személyek személyes adataik kezelésével összefüggő védelméhez kapcsolódó elvek és szabályok a természetes személyek állampolgárságától és lakóhelyétől függetlenül tiszteletben tartják e természetes személyek alapvető jogait és szabadságait, különösen, ami a személyes adataik védelméhez való jogukat illeti. Ez hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség, valamint a gazdasági unió megteremtéséhez, a gazdasági és társadalmi fejlődéshez, a belső piacon belüli gazdaságok erősödéséhez és konvergenciájához, valamint a természetes személyek jólétéhez. |
| --- | --- |

(2)

A természetes személyek személyes adataik kezelésével összefüggő védelméhez kapcsolódó elvek és szabályok a természetes személyek állampolgárságától és lakóhelyétől függetlenül tiszteletben tartják e természetes személyek alapvető jogait és szabadságait, különösen, ami a személyes adataik védelméhez való jogukat illeti. Ez hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség, valamint a gazdasági unió megteremtéséhez, a gazdasági és társadalmi fejlődéshez, a belső piacon belüli gazdaságok erősödéséhez és konvergenciájához, valamint a természetes személyek jólétéhez.

| (3) | A 95/46/EK európai parlamenti és tanácsi irányelv (4) célja, hogy harmonizálja az adatkezelési tevékenységek tekintetében a természetes személyek alapvető jogainak és szabadságainak védelmét, valamint, hogy biztosítsa a személyes adatok tagállamok közötti szabad áramlását. |
| --- | --- |

(3)

A 95/46/EK európai parlamenti és tanácsi irányelv (4) célja, hogy harmonizálja az adatkezelési tevékenységek tekintetében a természetes személyek alapvető jogainak és szabadságainak védelmét, valamint, hogy biztosítsa a személyes adatok tagállamok közötti szabad áramlását.

| (4) | A személyes adatok kezelését az emberiség szolgálatába kell állítani. A személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Ez a rendelet minden alapvető jogot tiszteletben tart, és szem előtt tartja a Chartában elismert és a Szerződésekben rögzített szabadságokat és elveket, különösen ami a magán- és a családi élet, az otthon és a kapcsolattartás tiszteletben tartásához és a személyes adatok védelméhez, a gondolat-, a lelkiismeret- és a vallásszabadsághoz, a véleménynyilvánítás szabadságához és a tájékozódás szabadságához, a vállalkozás szabadságához, a hatékony jogorvoslathoz és a tisztességes eljáráshoz, és a kulturális, vallási és nyelvi sokféleséghez való jogot illeti. |
| --- | --- |

(4)

A személyes adatok kezelését az emberiség szolgálatába kell állítani. A személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Ez a rendelet minden alapvető jogot tiszteletben tart, és szem előtt tartja a Chartában elismert és a Szerződésekben rögzített szabadságokat és elveket, különösen ami a magán- és a családi élet, az otthon és a kapcsolattartás tiszteletben tartásához és a személyes adatok védelméhez, a gondolat-, a lelkiismeret- és a vallásszabadsághoz, a véleménynyilvánítás szabadságához és a tájékozódás szabadságához, a vállalkozás szabadságához, a hatékony jogorvoslathoz és a tisztességes eljáráshoz, és a kulturális, vallási és nyelvi sokféleséghez való jogot illeti.

| (5) | A belső piac működéséből eredő gazdasági és társadalmi integráció lényegesen megnövelte a személyes adatok határokon átnyúló áramlását. Megnövekedett az állami és a magánszereplők, köztük a természetes személyek, egyesületek és a vállalkozások között Unió-szerte zajló személyes adatok cseréje. Az uniós jog együttműködésre és személyes adatok cseréjére kötelezi tagállamok nemzeti hatóságait annak érdekében, hogy képesek legyenek feladataikat ellátni, illetve hogy más tagállam hatóságai nevében eljárjanak. |
| --- | --- |

(5)

A belső piac működéséből eredő gazdasági és társadalmi integráció lényegesen megnövelte a személyes adatok határokon átnyúló áramlását. Megnövekedett az állami és a magánszereplők, köztük a természetes személyek, egyesületek és a vállalkozások között Unió-szerte zajló személyes adatok cseréje. Az uniós jog együttműködésre és személyes adatok cseréjére kötelezi tagállamok nemzeti hatóságait annak érdekében, hogy képesek legyenek feladataikat ellátni, illetve hogy más tagállam hatóságai nevében eljárjanak.

| (6) | A gyors technológiai fejlődés és a globalizáció új kihívások elé állította a személyes adatok védelmét. A személyes adatok gyűjtése és megosztása jelentős mértékben megnőtt. A technológia a vállalkozások és a közhatalmi szervek számára tevékenységük folytatásához a személyes adatok felhasználását minden eddiginél nagyobb mértékben lehetővé teszi. Az emberek egyre nagyobb mértékben hoznak nyilvánosságra és tesznek globális szinten elérhetővé személyes adatokat. A technológia egyaránt átalakította a gazdasági és a társadalmi életet, és egyre inkább elősegíti a személyes adatok Unión belüli szabad áramlását és a személyes adatok harmadik országok és nemzetközi szervezetek részére történő továbbítását, biztosítva egyúttal a személyes adatok magas szintű védelmét. |
| --- | --- |

(6)

A gyors technológiai fejlődés és a globalizáció új kihívások elé állította a személyes adatok védelmét. A személyes adatok gyűjtése és megosztása jelentős mértékben megnőtt. A technológia a vállalkozások és a közhatalmi szervek számára tevékenységük folytatásához a személyes adatok felhasználását minden eddiginél nagyobb mértékben lehetővé teszi. Az emberek egyre nagyobb mértékben hoznak nyilvánosságra és tesznek globális szinten elérhetővé személyes adatokat. A technológia egyaránt átalakította a gazdasági és a társadalmi életet, és egyre inkább elősegíti a személyes adatok Unión belüli szabad áramlását és a személyes adatok harmadik országok és nemzetközi szervezetek részére történő továbbítását, biztosítva egyúttal a személyes adatok magas szintű védelmét.

| (7) | E fejlemények egy olyan szilárd és az eddiginél következetesebb uniós adatvédelmi keretet igényelnek, amelyet erős kikényszeríthetőség támogat, hiszen a bizalom megteremtése fontos a digitális gazdaság belső piaci fejlődéséhez. A természetes személyek számára biztosítani kell, hogy saját személyes adataik felett maguk rendelkezzenek. A természetes személyek, a gazdasági szereplők és a közhatalmi szervek számára a jogbiztonságot és a gyakorlati biztonságot fokozni kell. |
| --- | --- |

(7)

E fejlemények egy olyan szilárd és az eddiginél következetesebb uniós adatvédelmi keretet igényelnek, amelyet erős kikényszeríthetőség támogat, hiszen a bizalom megteremtése fontos a digitális gazdaság belső piaci fejlődéséhez. A természetes személyek számára biztosítani kell, hogy saját személyes adataik felett maguk rendelkezzenek. A természetes személyek, a gazdasági szereplők és a közhatalmi szervek számára a jogbiztonságot és a gyakorlati biztonságot fokozni kell.

| (8) | Ha e rendelet úgy rendelkezik, hogy a benne foglalt szabályokat tagállami jog által pontosítani, illetve korlátozni lehet, a tagállamok e rendelet egyes elemeit beépíthetik a nemzeti jogukba, ha az a koherencia biztosításához, valamint ahhoz szükséges, hogy a nemzeti rendelkezések a hatályuk alá tartozó személyek számára érthetők legyenek. |
| --- | --- |

(8)

Ha e rendelet úgy rendelkezik, hogy a benne foglalt szabályokat tagállami jog által pontosítani, illetve korlátozni lehet, a tagállamok e rendelet egyes elemeit beépíthetik a nemzeti jogukba, ha az a koherencia biztosításához, valamint ahhoz szükséges, hogy a nemzeti rendelkezések a hatályuk alá tartozó személyek számára érthetők legyenek.

| (9) | A 95/46/EK irányelv célkitűzései és elvei továbbra is érvényesek, azonban az irányelv nem akadályozta meg sem azt, hogy az Unió tagállamaiban az adatvédelem végrehajtása széttagolt módon valósuljon meg, sem a jogbizonytalanságot, sem pedig azt, hogy széles körben az a benyomás alakuljon ki, hogy természetes személy védelme – különösen az online tevékenységek esetében – jelentős kockázatoknak van kitéve. Az a tény, hogy a személyes adatok kezelése tekintetében a természetes személyek jogai és szabadságai egyes tagállamokban eltérő szintű védelmet élveznek, különösen, ami személyes adatok védelméhez való jogot illeti, a személyes adatok Unióban történő szabad áramlásának útjában állhat. Ebből eredően ezek az eltérések a gazdasági tevékenységek uniós szinten való folytatásának akadályát képezhetik, torzíthatják a versenyt, és hátráltathatják a hatóságokat az uniós jog szerinti feladataik ellátásában. A jogok és szabadságok védelmi szintjében mutatkozó ilyen eltérések a 95/46/EK irányelv végrehajtásában és alkalmazásában fennálló eltérésekre vezethetők vissza. |
| --- | --- |

(9)

A 95/46/EK irányelv célkitűzései és elvei továbbra is érvényesek, azonban az irányelv nem akadályozta meg sem azt, hogy az Unió tagállamaiban az adatvédelem végrehajtása széttagolt módon valósuljon meg, sem a jogbizonytalanságot, sem pedig azt, hogy széles körben az a benyomás alakuljon ki, hogy természetes személy védelme – különösen az online tevékenységek esetében – jelentős kockázatoknak van kitéve. Az a tény, hogy a személyes adatok kezelése tekintetében a természetes személyek jogai és szabadságai egyes tagállamokban eltérő szintű védelmet élveznek, különösen, ami személyes adatok védelméhez való jogot illeti, a személyes adatok Unióban történő szabad áramlásának útjában állhat. Ebből eredően ezek az eltérések a gazdasági tevékenységek uniós szinten való folytatásának akadályát képezhetik, torzíthatják a versenyt, és hátráltathatják a hatóságokat az uniós jog szerinti feladataik ellátásában. A jogok és szabadságok védelmi szintjében mutatkozó ilyen eltérések a 95/46/EK irányelv végrehajtásában és alkalmazásában fennálló eltérésekre vezethetők vissza.

| (10) | A természetes személyek következetes és magas szintű védelmének biztosítása és a személyes adatok Unión belüli áramlása előtti akadályok elhárítása érdekében a természetes személyeknek az ilyen adatok kezelésével összefüggésben fennálló jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell. A tagállamok számára lehetővé kell tenni, hogy az e rendeletben foglalt szabályok alkalmazását pontosító nemzeti rendelkezéseket tartsanak fenn vagy vezessenek be, ha a személyes adatok kezelésére jogi kötelezettség teljesítéséhez, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához szükséges. A 95/46/EK irányelvet végrehajtó általános és horizontális adatvédelmi jogszabályokhoz kapcsolódóan a tagállamok számos ágazatspecifikus jogszabályt hoztak azokon a területeken, ahol konkrétabb rendelkezésekre van szükség. Ez a rendelet a tagállamok számára mozgásteret biztosít ahhoz, hogy pontosítsák a benne meghatározott szabályokat, ideértve a személyes adatok különleges kategóriáira („különleges adatok”) vonatkozókat is. Ennyiben tehát ez a rendelet nem zárja ki olyan tagállami jog elfogadását, amely meghatározza a különleges adatkezelési helyzetek körülményeit, ezen belül pontosabban megállapítja, hogy milyen feltételek mellett jogszerű a személyes adatok kezelése. |
| --- | --- |

(10)

A természetes személyek következetes és magas szintű védelmének biztosítása és a személyes adatok Unión belüli áramlása előtti akadályok elhárítása érdekében a természetes személyeknek az ilyen adatok kezelésével összefüggésben fennálló jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell. A tagállamok számára lehetővé kell tenni, hogy az e rendeletben foglalt szabályok alkalmazását pontosító nemzeti rendelkezéseket tartsanak fenn vagy vezessenek be, ha a személyes adatok kezelésére jogi kötelezettség teljesítéséhez, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához szükséges. A 95/46/EK irányelvet végrehajtó általános és horizontális adatvédelmi jogszabályokhoz kapcsolódóan a tagállamok számos ágazatspecifikus jogszabályt hoztak azokon a területeken, ahol konkrétabb rendelkezésekre van szükség. Ez a rendelet a tagállamok számára mozgásteret biztosít ahhoz, hogy pontosítsák a benne meghatározott szabályokat, ideértve a személyes adatok különleges kategóriáira („különleges adatok”) vonatkozókat is. Ennyiben tehát ez a rendelet nem zárja ki olyan tagállami jog elfogadását, amely meghatározza a különleges adatkezelési helyzetek körülményeit, ezen belül pontosabban megállapítja, hogy milyen feltételek mellett jogszerű a személyes adatok kezelése.

| (11) | Ahhoz, hogy a személyes adatok az Unió egész területén hatékony védelemben részesüljenek, az érintettek jogait, valamint a személyes adatokat kezelő, illetve az adatkezelést meghatározó személyek kötelezettségeit megerősíteni és részletesen meghatározni szükséges, ugyanakkor pedig az egyes tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatáskört is biztosítani szükséges, és a jogsértőkre azonos szankciókat kell alkalmazni. |
| --- | --- |

(11)

Ahhoz, hogy a személyes adatok az Unió egész területén hatékony védelemben részesüljenek, az érintettek jogait, valamint a személyes adatokat kezelő, illetve az adatkezelést meghatározó személyek kötelezettségeit megerősíteni és részletesen meghatározni szükséges, ugyanakkor pedig az egyes tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatáskört is biztosítani szükséges, és a jogsértőkre azonos szankciókat kell alkalmazni.

| (12) | Az EUMSZ 16. cikkének (2) bekezdése felhatalmazza az Európai Parlamentet és a Tanácsot a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályok megállapítására. |
| --- | --- |

(12)

Az EUMSZ 16. cikkének (2) bekezdése felhatalmazza az Európai Parlamentet és a Tanácsot a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályok megállapítására.

| (13) | A természetes személyek egységes, uniós-szintű védelmének biztosítása, valamint a személyes adatok belső piacon való szabad áramlását akadályozó eltérések megelőzése érdekében rendelettel kell biztosítani a jogbiztonságot és az áttekinthetőséget valamennyi tagállam gazdasági szereplői részére – beleértve a mikro-, kis- és középvállalkozásokat is –, továbbá rendelettel kell biztosítani a természetes személyek részére minden tagállamban azonos szintű, jogi úton érvényesíthető jogokat és kötelezettségeket, az adatkezelők és adatfeldolgozók számára azonos felelősséget, a személyes adatok kezelésének következetes nyomon követését, valamennyi tagállamban azonos szankciók alkalmazását, és a különböző tagállamok felügyeleti hatóságai közötti hatékony együttműködést. A belső piac megfelelő működése érdekében a személyes adatok Unión belüli szabad áramlását a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból nem szabad korlátozni vagy megtiltani. A mikro-, kis- és középvállalkozások sajátos helyzetének figyelembevétele érdekében a 250 főnél kevesebb személyt foglalkoztató szervezetek esetében e rendelet a nyilvántartás vezetése tekintetében eltérést tartalmaz. Emellett, e rendelet alkalmazása során az uniós intézményeket és szerveket, és a tagállamokat és azok felügyeleti hatóságait ösztönözni kell, hogy vegyék figyelembe a mikro-, kis- és középvállalkozások sajátos szükségleteit. A mikro-, kis- és középvállalkozások fogalma kapcsán a 2003/361/EK bizottsági ajánlás (5) mellékletének 2. cikkét kell alapul venni. |
| --- | --- |

(13)

A természetes személyek egységes, uniós-szintű védelmének biztosítása, valamint a személyes adatok belső piacon való szabad áramlását akadályozó eltérések megelőzése érdekében rendelettel kell biztosítani a jogbiztonságot és az áttekinthetőséget valamennyi tagállam gazdasági szereplői részére – beleértve a mikro-, kis- és középvállalkozásokat is –, továbbá rendelettel kell biztosítani a természetes személyek részére minden tagállamban azonos szintű, jogi úton érvényesíthető jogokat és kötelezettségeket, az adatkezelők és adatfeldolgozók számára azonos felelősséget, a személyes adatok kezelésének következetes nyomon követését, valamennyi tagállamban azonos szankciók alkalmazását, és a különböző tagállamok felügyeleti hatóságai közötti hatékony együttműködést. A belső piac megfelelő működése érdekében a személyes adatok Unión belüli szabad áramlását a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból nem szabad korlátozni vagy megtiltani. A mikro-, kis- és középvállalkozások sajátos helyzetének figyelembevétele érdekében a 250 főnél kevesebb személyt foglalkoztató szervezetek esetében e rendelet a nyilvántartás vezetése tekintetében eltérést tartalmaz. Emellett, e rendelet alkalmazása során az uniós intézményeket és szerveket, és a tagállamokat és azok felügyeleti hatóságait ösztönözni kell, hogy vegyék figyelembe a mikro-, kis- és középvállalkozások sajátos szükségleteit. A mikro-, kis- és középvállalkozások fogalma kapcsán a 2003/361/EK bizottsági ajánlás (5) mellékletének 2. cikkét kell alapul venni.

| (14) | A természetes személyeket a személyes adataik kezelésével kapcsolatban e rendelet alapján nyújtott védelem állampolgárságuktól és lakóhelyüktől függetlenül megilleti. E rendelet hatálya nem terjed ki az olyan személyes adatkezelésre, amely jogi személyekre, illetve amely különösen olyan vállalkozásokra vonatkozik, amelyeket jogi személyként hoztak létre, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat. |
| --- | --- |

(14)

A természetes személyeket a személyes adataik kezelésével kapcsolatban e rendelet alapján nyújtott védelem állampolgárságuktól és lakóhelyüktől függetlenül megilleti. E rendelet hatálya nem terjed ki az olyan személyes adatkezelésre, amely jogi személyekre, illetve amely különösen olyan vállalkozásokra vonatkozik, amelyeket jogi személyként hoztak létre, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat.

| (15) | A komoly szabály-kerülési kockázat veszélyének elkerülése érdekében a természetes személyek védelmének technológiailag semlegesnek kell lennie és nem függhet a felhasznált technikai megoldásoktól. A természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a manuális kezelésre is vonatkozik, ha a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak e rendelet hatálya alá. |
| --- | --- |

(15)

A komoly szabály-kerülési kockázat veszélyének elkerülése érdekében a természetes személyek védelmének technológiailag semlegesnek kell lennie és nem függhet a felhasznált technikai megoldásoktól. A természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a manuális kezelésre is vonatkozik, ha a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak e rendelet hatálya alá.

| (16) | E rendelet nem vonatkozik az alapvető jogok és szabadságok olyan tevékenységekkel kapcsolatos védelmére, illetve a személyes adatok olyan tevékenységekkel kapcsolatos szabad áramlására, amelyek az uniós jog hatályán kívül esnek, mint például a nemzetbiztonsággal kapcsolatos tevékenységek. Nem tartozik e rendelet hatálya alá a tagállamok által olyan tevékenységek keretében végzett személyes adatok kezelése sem, amelyeket a tagállamok az Unió közös kül- és biztonságpolitikájával összefüggésben végeznek. |
| --- | --- |

(16)

E rendelet nem vonatkozik az alapvető jogok és szabadságok olyan tevékenységekkel kapcsolatos védelmére, illetve a személyes adatok olyan tevékenységekkel kapcsolatos szabad áramlására, amelyek az uniós jog hatályán kívül esnek, mint például a nemzetbiztonsággal kapcsolatos tevékenységek. Nem tartozik e rendelet hatálya alá a tagállamok által olyan tevékenységek keretében végzett személyes adatok kezelése sem, amelyeket a tagállamok az Unió közös kül- és biztonságpolitikájával összefüggésben végeznek.

| (17) | A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK európai parlamenti és tanácsi rendelet (6) vonatkozik. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi aktusokat az e rendeletben foglalt elvekhez és szabályokhoz hozzá kell igazítani, és e rendelet fényében kell alkalmazni. Annak érdekében, hogy az Unióban szigorú és koherens adatvédelmi keret jöjjön létre és annak érdekében, hogy e két jogszabály alkalmazása egy időben kezdődhessen meg, e rendelet elfogadását a 45/2001/EK rendelet szükséges kiigazítása követi. |
| --- | --- |

(17)

A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK európai parlamenti és tanácsi rendelet (6) vonatkozik. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi aktusokat az e rendeletben foglalt elvekhez és szabályokhoz hozzá kell igazítani, és e rendelet fényében kell alkalmazni. Annak érdekében, hogy az Unióban szigorú és koherens adatvédelmi keret jöjjön létre és annak érdekében, hogy e két jogszabály alkalmazása egy időben kezdődhessen meg, e rendelet elfogadását a 45/2001/EK rendelet szükséges kiigazítása követi.

| (18) | Ez a rendelet nem alkalmazandó a személyes adatoknak a természetes személy által kizárólag személyes vagy otthoni tevékenység keretében végzett kezelésére, amely így semmilyen szakmai vagy üzleti tevékenységgel nem hozható összefüggésbe. Személyes vagy otthoni tevékenységnek minősül például a levelezés, a címtárolás, valamint az említett személyes és otthoni tevékenységek keretében végzett, közösségi hálózatokon törté ő kapcsolattartás és online tevékenységek. E rendeletet kell alkalmazni azonban azokra az adatkezelőkre és adatfeldolgozókra, akik a személyes adatok ilyen személyes vagy otthoni tevékenység keretében végzett kezeléséhez az eszközöket biztosítják. |
| --- | --- |

(18)

Ez a rendelet nem alkalmazandó a személyes adatoknak a természetes személy által kizárólag személyes vagy otthoni tevékenység keretében végzett kezelésére, amely így semmilyen szakmai vagy üzleti tevékenységgel nem hozható összefüggésbe. Személyes vagy otthoni tevékenységnek minősül például a levelezés, a címtárolás, valamint az említett személyes és otthoni tevékenységek keretében végzett, közösségi hálózatokon törté ő kapcsolattartás és online tevékenységek. E rendeletet kell alkalmazni azonban azokra az adatkezelőkre és adatfeldolgozókra, akik a személyes adatok ilyen személyes vagy otthoni tevékenység keretében végzett kezeléséhez az eszközöket biztosítják.

| (19) | A személyes adatoknak az illetékes hatóságok által bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából, ezeken belül ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából végzett kezelése vonatkozásában a természetes személyek védelme, valamint az ilyen adatok szabad áramlása külön uniós jogi aktus tárgyát képezi. E rendelet ezért az e célok érdekében végzett adatkezelési tevékenységekre nem alkalmazandó. Ugyanakkor a közhatalmi szervek e rendelet alapján végzett személyes adatkezelését, ha az adatokat a fenti célok érdekében használják fel, a kifejezetten erre vonatkozó külön uniós jogi aktusnak, az (EU) 2016/680 európai parlamenti és tanácsi irányelvnek (7) kell szabályoznia. A tagállamok az (EU) 2016/680 irányelv szerinti illetékes hatóságokat megbízhatják olyan egyéb feladatokkal is, amelyeknek ellátása nem feltétlenül a bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása, illetve nem a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából történik, ebben az esetben a személyes adatoknak az említett egyéb célokból történő, egyébiránt az uniós jog hatálya alá tartozó kezelése e rendelet hatálya alá tartozik.
  Az említett illetékes hatóságok által az e rendelet hatálya alá tartozó célokból végzett személyesadat-kezelésre vonatkozóan a tagállamok számára lehetővé kell tenni, hogy konkrétabb rendelkezéseket tartsanak fenn vagy vezessenek be annak érdekében, hogy kiigazítsák az e rendeletben foglalt szabályok alkalmazását. Ezekben a rendelkezésekben a tagállamok – alkotmányos, szervezeti és közigazgatási szerkezetüket figyelembe véve – pontosabban meghatározhatják az említett illetékes hatóságok által az említett egyéb célokból végzett személyesadat-kezelésre vonatkozó egyedi követelményeket. Azokban az esetekben, amikor a személyes adatok magánfél szervezetek általi kezelése e rendelet hatálya alá esik, e rendelet keretében lehetőséget kell biztosítani a tagállamok számára, hogy – bizonyos különös feltételek mellett – egyes jogokra és kötelezettségekre vonatkozóan jogi korlátozást alkalmazzanak, feltéve hogy e korlátozás egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül bizonyos fontos érdekek védelme – így például a közbiztonság, valamint a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, ezeken belül ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését – érdekében. Ennek például a pénzmosás elleni küzdelem és a bűnügyi szakértői laboratóriumok vonatkozásában van jelentősége. |
| --- | --- |

(19)

A személyes adatoknak az illetékes hatóságok által bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából, ezeken belül ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából végzett kezelése vonatkozásában a természetes személyek védelme, valamint az ilyen adatok szabad áramlása külön uniós jogi aktus tárgyát képezi. E rendelet ezért az e célok érdekében végzett adatkezelési tevékenységekre nem alkalmazandó. Ugyanakkor a közhatalmi szervek e rendelet alapján végzett személyes adatkezelését, ha az adatokat a fenti célok érdekében használják fel, a kifejezetten erre vonatkozó külön uniós jogi aktusnak, az (EU) 2016/680 európai parlamenti és tanácsi irányelvnek (7) kell szabályoznia. A tagállamok az (EU) 2016/680 irányelv szerinti illetékes hatóságokat megbízhatják olyan egyéb feladatokkal is, amelyeknek ellátása nem feltétlenül a bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása, illetve nem a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából történik, ebben az esetben a személyes adatoknak az említett egyéb célokból történő, egyébiránt az uniós jog hatálya alá tartozó kezelése e rendelet hatálya alá tartozik.

Az említett illetékes hatóságok által az e rendelet hatálya alá tartozó célokból végzett személyesadat-kezelésre vonatkozóan a tagállamok számára lehetővé kell tenni, hogy konkrétabb rendelkezéseket tartsanak fenn vagy vezessenek be annak érdekében, hogy kiigazítsák az e rendeletben foglalt szabályok alkalmazását. Ezekben a rendelkezésekben a tagállamok – alkotmányos, szervezeti és közigazgatási szerkezetüket figyelembe véve – pontosabban meghatározhatják az említett illetékes hatóságok által az említett egyéb célokból végzett személyesadat-kezelésre vonatkozó egyedi követelményeket. Azokban az esetekben, amikor a személyes adatok magánfél szervezetek általi kezelése e rendelet hatálya alá esik, e rendelet keretében lehetőséget kell biztosítani a tagállamok számára, hogy – bizonyos különös feltételek mellett – egyes jogokra és kötelezettségekre vonatkozóan jogi korlátozást alkalmazzanak, feltéve hogy e korlátozás egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül bizonyos fontos érdekek védelme – így például a közbiztonság, valamint a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, ezeken belül ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését – érdekében. Ennek például a pénzmosás elleni küzdelem és a bűnügyi szakértői laboratóriumok vonatkozásában van jelentősége.

| (20) | Bár ezt a rendeletet a bíróságok és más igazságügyi hatóságok tevékenységeire is alkalmazni kell, az uniós, illetve a tagállami jog a személyes adatok kezelésével összefüggésben a bíróságok és más igazságügyi hatóságok által végzett kezelési műveleteket és eljárásokat pontosabban meghatározhatja. Annak érdekében, hogy az igazságszolgáltatási feladataik ellátása során, beleértve a döntéshozatalt is, biztosítva legyen a bírói kar függetlensége, a felügyeleti hatóságok hatásköre nem terjedhet ki a személyes adatok olyan kezelésére, amelyet a bíróságok igazságszolgáltatási feladatkörükben eljárva végeznek. Lehetővé kell tenni, hogy az ilyen adatkezelési műveletek felügyeletével a tagállamok igazságügyi rendszerén belül olyan szakosodott szerveket bízzanak meg, amelyek elsősorban biztosítják az e rendeletben foglalt szabályoknak való megfelelést, növelik a bírói kar tudatosságát az e rendelet szerinti kötelezettségeik tekintetében és kezelik az említett adatkezelési tevékenységgel kapcsolatos panaszokat. |
| --- | --- |

(20)

Bár ezt a rendeletet a bíróságok és más igazságügyi hatóságok tevékenységeire is alkalmazni kell, az uniós, illetve a tagállami jog a személyes adatok kezelésével összefüggésben a bíróságok és más igazságügyi hatóságok által végzett kezelési műveleteket és eljárásokat pontosabban meghatározhatja. Annak érdekében, hogy az igazságszolgáltatási feladataik ellátása során, beleértve a döntéshozatalt is, biztosítva legyen a bírói kar függetlensége, a felügyeleti hatóságok hatásköre nem terjedhet ki a személyes adatok olyan kezelésére, amelyet a bíróságok igazságszolgáltatási feladatkörükben eljárva végeznek. Lehetővé kell tenni, hogy az ilyen adatkezelési műveletek felügyeletével a tagállamok igazságügyi rendszerén belül olyan szakosodott szerveket bízzanak meg, amelyek elsősorban biztosítják az e rendeletben foglalt szabályoknak való megfelelést, növelik a bírói kar tudatosságát az e rendelet szerinti kötelezettségeik tekintetében és kezelik az említett adatkezelési tevékenységgel kapcsolatos panaszokat.

| (21) | Ez a rendelet nem érinti a 2000/31/EK európai parlamenti és tanácsi irányelv (8), és különösen az irányelv 12–15. cikkei szerinti, a közvetítő szolgáltatók felelősségére vonatkozó szabályok alkalmazását. Az említett irányelv a belső piac megfelelő működéséhez azzal járul hozzá, hogy biztosítja az információs társadalommal összefüggő szolgáltatások tagállamok közötti szabad mozgását. |
| --- | --- |

(21)

Ez a rendelet nem érinti a 2000/31/EK európai parlamenti és tanácsi irányelv (8), és különösen az irányelv 12–15. cikkei szerinti, a közvetítő szolgáltatók felelősségére vonatkozó szabályok alkalmazását. Az említett irányelv a belső piac megfelelő működéséhez azzal járul hozzá, hogy biztosítja az információs társadalommal összefüggő szolgáltatások tagállamok közötti szabad mozgását.

| (22) | Az adatkezelő vagy adatfeldolgozó a tevékenységi helyén folytatott működése során, az Unió területén végzett bármely személyesadat-kezelést e rendelettel összhangban kell végezni, tekintet nélkül arra, hogy maga az adatkezelés az Unió területén történik-e. A tevékenységi hely valamely tevékenység tényleges és valós, tartós jelleget biztosító keretek közötti gyakorlását feltételezi. E keretek jogi formája – legyen szó akár fióktelepről vagy jogi személyiséggel rendelkező leányvállalatról – e tekintetben nem meghatározó tényező. |
| --- | --- |

(22)

Az adatkezelő vagy adatfeldolgozó a tevékenységi helyén folytatott működése során, az Unió területén végzett bármely személyesadat-kezelést e rendelettel összhangban kell végezni, tekintet nélkül arra, hogy maga az adatkezelés az Unió területén történik-e. A tevékenységi hely valamely tevékenység tényleges és valós, tartós jelleget biztosító keretek közötti gyakorlását feltételezi. E keretek jogi formája – legyen szó akár fióktelepről vagy jogi személyiséggel rendelkező leányvállalatról – e tekintetben nem meghatározó tényező.

| (23) | Annak biztosítása érdekében, hogy a természetes személyeket e rendelet szerinti védelemtől ne lehessen megfosztani, helyénvaló, hogy ha az adatkezelési tevékenységek termékeknek vagy szolgáltatásoknak az említett érintettek részére történő nyújtásához kapcsolódnak, az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó az Unióban tartózkodó érintettek személyes adatainak kezelését e rendelet betartásával végezze, függetlenül attól, hogy ahhoz társul-e kifizetés. Annak megállapítása érdekében, hogy az ilyen adatkezelő vagy adatfeldolgozó kínál-e termékeket és szolgáltatásokat Unió területén lévő érintetteknek, meg kell bizonyosodni arról, hogy nyilvánvaló-e, hogy az adatkezelő vagy adatfeldolgozó az Unió egy vagy több tagállamában az érintettek számára szolgáltatásokat tervez nyújtani. Nem tekintendő e szándék nyilvánvaló jelének az a puszta tény, hogy az adatkezelő, adatfeldolgozó vagy valamely közvetítő honlapja, e-mail címe vagy más elérhetősége hozzáférhető az Unió területén, sem pedig az adatkezelő tevékenységi helye szerinti harmadik országban általánosan használt nyelv használata, ha viszont például az adatkezelő olyan nyelvet vagy pénznemet használ, amely egy vagy több tagállamban is általánosan használatos, és így lehetőséget biztosít termékeknek és szolgáltatásoknak az említett másik nyelven történő megrendelésére, vagy az Unióban tartózkodó fogyasztókra vagy felhasználókra tesz utalást, az egyértelműen jelezheti, hogy az adatkezelő említett érintetteknek az Unió területén termékeket vagy szolgáltatásokat szándékozik kínálni. |
| --- | --- |

(23)

Annak biztosítása érdekében, hogy a természetes személyeket e rendelet szerinti védelemtől ne lehessen megfosztani, helyénvaló, hogy ha az adatkezelési tevékenységek termékeknek vagy szolgáltatásoknak az említett érintettek részére történő nyújtásához kapcsolódnak, az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó az Unióban tartózkodó érintettek személyes adatainak kezelését e rendelet betartásával végezze, függetlenül attól, hogy ahhoz társul-e kifizetés. Annak megállapítása érdekében, hogy az ilyen adatkezelő vagy adatfeldolgozó kínál-e termékeket és szolgáltatásokat Unió területén lévő érintetteknek, meg kell bizonyosodni arról, hogy nyilvánvaló-e, hogy az adatkezelő vagy adatfeldolgozó az Unió egy vagy több tagállamában az érintettek számára szolgáltatásokat tervez nyújtani. Nem tekintendő e szándék nyilvánvaló jelének az a puszta tény, hogy az adatkezelő, adatfeldolgozó vagy valamely közvetítő honlapja, e-mail címe vagy más elérhetősége hozzáférhető az Unió területén, sem pedig az adatkezelő tevékenységi helye szerinti harmadik országban általánosan használt nyelv használata, ha viszont például az adatkezelő olyan nyelvet vagy pénznemet használ, amely egy vagy több tagállamban is általánosan használatos, és így lehetőséget biztosít termékeknek és szolgáltatásoknak az említett másik nyelven történő megrendelésére, vagy az Unióban tartózkodó fogyasztókra vagy felhasználókra tesz utalást, az egyértelműen jelezheti, hogy az adatkezelő említett érintetteknek az Unió területén termékeket vagy szolgáltatásokat szándékozik kínálni.

| (24) | Az Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó általi kezelése abban az esetben is e rendelet hatálya alá tartozik, amennyiben az érintettek Unión belüli magatartásának a megfigyeléséhez kapcsolódnak. Annak meghatározása, hogy az adatkezelés az érintettek magatartásának megfigyelésének minősül-e, meg kell megvizsgálni, hogy a természetes személyeket nyomon követik-e az interneten, illetve ezt követően a természetes személy profiljának megalkotását is magában foglaló adatkezelési technikákat alkalmaznak-e, annak érdekében, hogy elsősorban a természetes személyre vonatkozó döntéseket hozzanak, valamint, hogy elemezzék vagy előre jelezzék a természetes személy személyes preferenciáit, magatartását vagy beállítottságát. |
| --- | --- |

(24)

Az Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó általi kezelése abban az esetben is e rendelet hatálya alá tartozik, amennyiben az érintettek Unión belüli magatartásának a megfigyeléséhez kapcsolódnak. Annak meghatározása, hogy az adatkezelés az érintettek magatartásának megfigyelésének minősül-e, meg kell megvizsgálni, hogy a természetes személyeket nyomon követik-e az interneten, illetve ezt követően a természetes személy profiljának megalkotását is magában foglaló adatkezelési technikákat alkalmaznak-e, annak érdekében, hogy elsősorban a természetes személyre vonatkozó döntéseket hozzanak, valamint, hogy elemezzék vagy előre jelezzék a természetes személy személyes preferenciáit, magatartását vagy beállítottságát.

| (25) | Ha a nemzetközi közjog értelmében valamely tagállam jogát kell alkalmazni, e rendeletet kell alkalmazni az Unióban tevékenységi hellyel nem rendelkező adatkezelőkre is, így például a tagállamok diplomáciai vagy konzuli képviseleteire. |
| --- | --- |

(25)

Ha a nemzetközi közjog értelmében valamely tagállam jogát kell alkalmazni, e rendeletet kell alkalmazni az Unióban tevékenységi hellyel nem rendelkező adatkezelőkre is, így például a tagállamok diplomáciai vagy konzuli képviseleteire.

| (26) | Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az álnevesített személyes adatok, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni. Valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni – ideértve például a megjelölést –, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja. Annak meghatározásakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat, és a technológia fejlődését. Az adatvédelem elveit ennek megfelelően az anonim információkra nem kell alkalmazni, nevezetesen olyan információkra, amelyek nem azonosított vagy azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható. Ez a rendelet ezért nem vonatkozik az ilyen anonim információk kezelésére, a statisztikai vagy kutatási célú adatkezelést is ideértve. |
| --- | --- |

(26)

Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az álnevesített személyes adatok, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni. Valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni – ideértve például a megjelölést –, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja. Annak meghatározásakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat, és a technológia fejlődését. Az adatvédelem elveit ennek megfelelően az anonim információkra nem kell alkalmazni, nevezetesen olyan információkra, amelyek nem azonosított vagy azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható. Ez a rendelet ezért nem vonatkozik az ilyen anonim információk kezelésére, a statisztikai vagy kutatási célú adatkezelést is ideértve.

| (27) | Ezt a rendelet nem kell alkalmazni az elhunyt személyekkel kapcsolatos személyes adatokra. A tagállamok számára lehetővé kell tenni, hogy az elhunyt személyek személyes adatainak kezelését szabályozzák. |
| --- | --- |

(27)

Ezt a rendelet nem kell alkalmazni az elhunyt személyekkel kapcsolatos személyes adatokra. A tagállamok számára lehetővé kell tenni, hogy az elhunyt személyek személyes adatainak kezelését szabályozzák.

| (28) | A személyes adatok álnevesítése csökkentheti az érintettek számára a kockázatokat, valamint segíthet az adatkezelőknek és az adatfeldolgozóknak abban, hogy az adatvédelmi kötelezettségeiknek megfeleljenek. Az „álnevesítés” e rendeletbe történő kifejezett bevezetése nem irányul más adatvédelmi intézkedés kizárására. |
| --- | --- |

(28)

A személyes adatok álnevesítése csökkentheti az érintettek számára a kockázatokat, valamint segíthet az adatkezelőknek és az adatfeldolgozóknak abban, hogy az adatvédelmi kötelezettségeiknek megfeleljenek. Az „álnevesítés” e rendeletbe történő kifejezett bevezetése nem irányul más adatvédelmi intézkedés kizárására.

| (29) | Az álnevesítés személyes adatok kezelése során történő alkalmazásának ösztönzése céljából lehetővé kell tenni az álnevesítésre irányuló intézkedések és az általános elemzés egyidejű alkalmazását egyazon adatkezelő szervezetén belül, amennyiben az adatkezelő meghozta azokat a technikai és szervezési intézkedéseket, amelyek e rendelet az érintett adatkezelés vonatkozásában történő végrehajtásához szükségesek, továbbá biztosítja, hogy az ahhoz szükséges további információkat, amely által a személyes adatokat egy adott érintetthez lehessen kapcsolni, elkülönítve tárolják. A személyes adatokat kezelő adatkezelő megjelöli, hogy ugyanazon a szervezeten belül ki minősül feljogosított személyek. |
| --- | --- |

(29)

Az álnevesítés személyes adatok kezelése során történő alkalmazásának ösztönzése céljából lehetővé kell tenni az álnevesítésre irányuló intézkedések és az általános elemzés egyidejű alkalmazását egyazon adatkezelő szervezetén belül, amennyiben az adatkezelő meghozta azokat a technikai és szervezési intézkedéseket, amelyek e rendelet az érintett adatkezelés vonatkozásában történő végrehajtásához szükségesek, továbbá biztosítja, hogy az ahhoz szükséges további információkat, amely által a személyes adatokat egy adott érintetthez lehessen kapcsolni, elkülönítve tárolják. A személyes adatokat kezelő adatkezelő megjelöli, hogy ugyanazon a szervezeten belül ki minősül feljogosított személyek.

| (30) | A természetes személyek összefüggésbe hozhatók az általuk használt készülékek, alkalmazások, eszközök és protokollok által rendelkezésre bocsátott online azonosítókkal, például IP-címekkel és cookie-azonosítókkal, valamint egyéb azonosítókkal, például rádiófrekvenciás azonosító címkékkel. Ezáltal olyan nyomok keletkezhetnek, amelyek egyedi azonosítókkal és a szerverek által fogadott egyéb információkkal összekapcsolva felhasználhatók a természetes személyes profiljának létrehozására és az adott személy azonosítására. |
| --- | --- |

(30)

A természetes személyek összefüggésbe hozhatók az általuk használt készülékek, alkalmazások, eszközök és protokollok által rendelkezésre bocsátott online azonosítókkal, például IP-címekkel és cookie-azonosítókkal, valamint egyéb azonosítókkal, például rádiófrekvenciás azonosító címkékkel. Ezáltal olyan nyomok keletkezhetnek, amelyek egyedi azonosítókkal és a szerverek által fogadott egyéb információkkal összekapcsolva felhasználhatók a természetes személyes profiljának létrehozására és az adott személy azonosítására.

| (31) | Azok a közhatalmi szervek, amelyekkel hivatalos feladataikkal kapcsolatos jogi kötelezettségeik keretében személyes adatokat közölnek, így például az adó- és vámhatóságok, a pénzügyi nyomozóegységek, a független közigazgatási hatóságok, valamint az értékpapírpiacok szabályozásáért és felügyeletéért felelős pénzügyi hatóságok nem tekinthetők címzettnek, amikor olyan személyes adatokat kapnak, amelyek az uniós vagy a tagállami jog alapján egy konkrét közérdekű vizsgálat lefolytatásához szükségesek. A közhatalmi szervek nyilvánosságra hozatal iránti kérelmeit eseti alapon, írásban, indokolással ellátva kell benyújtani, és azok nem vonatkozhatnak teljes nyilvántartási rendszerekre, illetve nem eredményezhetik nyilvántartási rendszerek összekapcsolását. Az említett személyes adatok e közhatalmi szervek általi kezelése során – az adatkezelés céljának megfe – a vonatkozó adatvédelmi szabályokat be kell tartani. |
| --- | --- |

(31)

Azok a közhatalmi szervek, amelyekkel hivatalos feladataikkal kapcsolatos jogi kötelezettségeik keretében személyes adatokat közölnek, így például az adó- és vámhatóságok, a pénzügyi nyomozóegységek, a független közigazgatási hatóságok, valamint az értékpapírpiacok szabályozásáért és felügyeletéért felelős pénzügyi hatóságok nem tekinthetők címzettnek, amikor olyan személyes adatokat kapnak, amelyek az uniós vagy a tagállami jog alapján egy konkrét közérdekű vizsgálat lefolytatásához szükségesek. A közhatalmi szervek nyilvánosságra hozatal iránti kérelmeit eseti alapon, írásban, indokolással ellátva kell benyújtani, és azok nem vonatkozhatnak teljes nyilvántartási rendszerekre, illetve nem eredményezhetik nyilvántartási rendszerek összekapcsolását. Az említett személyes adatok e közhatalmi szervek általi kezelése során – az adatkezelés céljának megfe – a vonatkozó adatvédelmi szabályokat be kell tartani.

| (32) | Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik. |
| --- | --- |

(32)

Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik.

| (33) | Gyakran nem lehetséges a tudományos kutatási célú személyesadat-kezelés célját az adatgyűjtés időpontjában teljes mértékben azonosítani. Ezért lehetővé kell tenni az érintettek számára, hogy a tudományos kutatás bizonyos területeire vonatkozóan hozzájárulásukat adják az adatkezeléshez, betartva a tudományos kutatásokra vonatkozó, elismert etikai előírásokat. Az érintettek számára biztosítani kell annak lehetőségét, hogy – annyiban, ha a célok ezt lehetővé teszik – csak egyes kutatási területekre vagy a kutatási projekteknek csupán bizonyos részeire vonatkozóan adjanak hozzájárulást. |
| --- | --- |

(33)

Gyakran nem lehetséges a tudományos kutatási célú személyesadat-kezelés célját az adatgyűjtés időpontjában teljes mértékben azonosítani. Ezért lehetővé kell tenni az érintettek számára, hogy a tudományos kutatás bizonyos területeire vonatkozóan hozzájárulásukat adják az adatkezeléshez, betartva a tudományos kutatásokra vonatkozó, elismert etikai előírásokat. Az érintettek számára biztosítani kell annak lehetőségét, hogy – annyiban, ha a célok ezt lehetővé teszik – csak egyes kutatási területekre vagy a kutatási projekteknek csupán bizonyos részeire vonatkozóan adjanak hozzájárulást.

| (34) | A genetikai adatot olyan, a természetes személy örökölt vagy szerzett genetikai jellemzőivel összefüggő személyes adatként kell meghatározni, és amely az érintett személytől vett biológiai minta elemzésének – különösen kromoszómaelemzésnek, illetve a dezoxiribonukleinsav (DNS) vagy a ribonukleinsav (RNS) vizsgálatának, vagy az ezekből nyerhető információkkal megegyező információk kinyerését lehetővé tevő bármilyen más elem vizsgálatának – az eredménye. |
| --- | --- |

(34)

A genetikai adatot olyan, a természetes személy örökölt vagy szerzett genetikai jellemzőivel összefüggő személyes adatként kell meghatározni, és amely az érintett személytől vett biológiai minta elemzésének – különösen kromoszómaelemzésnek, illetve a dezoxiribonukleinsav (DNS) vagy a ribonukleinsav (RNS) vizsgálatának, vagy az ezekből nyerhető információkkal megegyező információk kinyerését lehetővé tevő bármilyen más elem vizsgálatának – az eredménye.

| (35) | Az egészségügyi személyes adatok közé tartoznak az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotáról. Ide tartoznak az alábbiak: a természetes személyre vonatkozó olyan személyes adatok, amelyeket az egyénnek a 2011/24/EU európai parlamenti és tanácsi irányelvben (9) említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel, vagy ilyen szolgáltatások nyújtása során gyűjtöttek, a természetes személy egészségügyi célokból történő egyéni azonosítása érdekében hozzá rendelt szám, jel vagy adat, valamely testrész vagy a testet alkotó anyag – beleértve a genetikai adatokat és a biológiai mintákat is – teszteléséből vagy vizsgálatából származó információk, és bármilyen, például az érintett betegségével, fogyatékosságával, betegségkockázatával, kórtörténetével, klinikai kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt. |
| --- | --- |

(35)

Az egészségügyi személyes adatok közé tartoznak az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotáról. Ide tartoznak az alábbiak: a természetes személyre vonatkozó olyan személyes adatok, amelyeket az egyénnek a 2011/24/EU európai parlamenti és tanácsi irányelvben (9) említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel, vagy ilyen szolgáltatások nyújtása során gyűjtöttek, a természetes személy egészségügyi célokból történő egyéni azonosítása érdekében hozzá rendelt szám, jel vagy adat, valamely testrész vagy a testet alkotó anyag – beleértve a genetikai adatokat és a biológiai mintákat is – teszteléséből vagy vizsgálatából származó információk, és bármilyen, például az érintett betegségével, fogyatékosságával, betegségkockázatával, kórtörténetével, klinikai kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt.

| (36) | Az adatkezelő Unión belüli tevékenységi központja az Unión belüli központi ügyvitelének helye, kivéve, ha a személyes adatok kezelésének céljaira és eszközeire vonatkozó döntéseket az adatkezelő egy másik Unión belüli tevékenységi helyén hozzák, amely esetben ez utóbbi másik tevékenységi központot kell a tevékenységi központnak tekinteni. Az adatkezelő Unión belüli tevékenységi központját objektív szempontok alapján kell meghatározni, és e fogalom magában foglalja az adatkezelés céljára és eszközeire vonatkozó fő döntéseket meghatározó ügyvezetési tevékenység tényleges és valós, tartós jelleget biztosító körülmények közötti gyakorlását. E szempont nem függhet attól, hogy a személyes adatok kezelése a szóban forgó helyszínen zajlik-e. A személyes adatok kezelésére szolgáló műszaki eszközök jelenléte és használata, illetve az adatkezelési tevékenység önmagában nem jár tevékenységi központként való minősítéssel, és ezért nem meghatározó szempontja a tevékenységi központnak. Az adatfeldolgozó tevékenységi központja az Unión belüli központi ügyvitelének helye kell, hogy legyen, vagy ha az Unióban nem rendelkezik központi ügyviteli hellyel, akkor az a hely, ahol az Unióban a fő adatkezelési tevékenységek zajlanak. Az adatkezelőt és az adatfeldolgozót egyaránt érintő esetekben továbbra is annak a tagállamnak a felügyeleti hatósága az illetékes fő felügyeleti hatóság, amelynek területén az adatkezelő tevékenységi központja található, azonban az adatfeldolgozó felügyeleti hatósága érintett felügyeleti hatóságnak tekintendő, ennek a felügyeleti hatóságnak részt kell vennie az e rendeletben meghatározott együttműködési eljárásban. Az olyan tagállam(ok) felügyeleti hatóságai, amely(ek) területén az adatfeldolgozó egy vagy több tevékenységi hellyel rendelkezik, semmi esetre sem tekinthetők érintett felügyeleti hatóságnak, ha az adott döntéstervezet csak az adatkezelőre vonatkozik. Ha az adatkezelést vállalkozáscsoport végzi, az ellenőrző vállalkozás tevékenységi központja tekintendő a vállalkozáscsoport tevékenységi központjának, kivéve, ha az adatkezelés céljait és eszközeit valamely más vállalkozás határozza meg. |
| --- | --- |

(36)

Az adatkezelő Unión belüli tevékenységi központja az Unión belüli központi ügyvitelének helye, kivéve, ha a személyes adatok kezelésének céljaira és eszközeire vonatkozó döntéseket az adatkezelő egy másik Unión belüli tevékenységi helyén hozzák, amely esetben ez utóbbi másik tevékenységi központot kell a tevékenységi központnak tekinteni. Az adatkezelő Unión belüli tevékenységi központját objektív szempontok alapján kell meghatározni, és e fogalom magában foglalja az adatkezelés céljára és eszközeire vonatkozó fő döntéseket meghatározó ügyvezetési tevékenység tényleges és valós, tartós jelleget biztosító körülmények közötti gyakorlását. E szempont nem függhet attól, hogy a személyes adatok kezelése a szóban forgó helyszínen zajlik-e. A személyes adatok kezelésére szolgáló műszaki eszközök jelenléte és használata, illetve az adatkezelési tevékenység önmagában nem jár tevékenységi központként való minősítéssel, és ezért nem meghatározó szempontja a tevékenységi központnak. Az adatfeldolgozó tevékenységi központja az Unión belüli központi ügyvitelének helye kell, hogy legyen, vagy ha az Unióban nem rendelkezik központi ügyviteli hellyel, akkor az a hely, ahol az Unióban a fő adatkezelési tevékenységek zajlanak. Az adatkezelőt és az adatfeldolgozót egyaránt érintő esetekben továbbra is annak a tagállamnak a felügyeleti hatósága az illetékes fő felügyeleti hatóság, amelynek területén az adatkezelő tevékenységi központja található, azonban az adatfeldolgozó felügyeleti hatósága érintett felügyeleti hatóságnak tekintendő, ennek a felügyeleti hatóságnak részt kell vennie az e rendeletben meghatározott együttműködési eljárásban. Az olyan tagállam(ok) felügyeleti hatóságai, amely(ek) területén az adatfeldolgozó egy vagy több tevékenységi hellyel rendelkezik, semmi esetre sem tekinthetők érintett felügyeleti hatóságnak, ha az adott döntéstervezet csak az adatkezelőre vonatkozik. Ha az adatkezelést vállalkozáscsoport végzi, az ellenőrző vállalkozás tevékenységi központja tekintendő a vállalkozáscsoport tevékenységi központjának, kivéve, ha az adatkezelés céljait és eszközeit valamely más vállalkozás határozza meg.

| (37) | A vállalkozáscsoportot egy ellenőrző vállalkozás és az általa ellenőrzött vállalkozások alkotják; ellenőrző vállalkozásnak azt a vállalkozást kell tekinteni, amely – például tulajdonosi jogok, pénzügyi részesedés vagy az arra vonatkozó szabályok, vagy a személyes adatok védelmére vonatkozó szabályok végrehajtására való jogosultság révén – a többi vállalkozás felett meghatározó befolyást gyakorol. Az a vállalkozás, amely ellenőrzi a hozzá kapcsolt vállalkozásokban a személyes adatok kezelését, ezen intézményekkel együtt „vállalkozáscsoportnak” tekinthető jogalanyt alkot. |
| --- | --- |

(37)

A vállalkozáscsoportot egy ellenőrző vállalkozás és az általa ellenőrzött vállalkozások alkotják; ellenőrző vállalkozásnak azt a vállalkozást kell tekinteni, amely – például tulajdonosi jogok, pénzügyi részesedés vagy az arra vonatkozó szabályok, vagy a személyes adatok védelmére vonatkozó szabályok végrehajtására való jogosultság révén – a többi vállalkozás felett meghatározó befolyást gyakorol. Az a vállalkozás, amely ellenőrzi a hozzá kapcsolt vállalkozásokban a személyes adatok kezelését, ezen intézményekkel együtt „vállalkozáscsoportnak” tekinthető jogalanyt alkot.

| (38) | A gyermekek személyes adatai különös védelmet érdemelnek, mivel ők kevésbé lehetnek tisztában a személyes adatok kezelésével összefüggő kockázatokkal, következményeivel és az ahhoz kapcsolódó garanciákkal és jogosultságokkal. Ezt a különös védelmet főként a gyermekek személyes adatainak olyan felhasználására kell alkalmazni, amely marketingcélokat, illetve személyi vagy felhasználói profilok létrehozásának célját szolgálja, továbbá a gyermekek személyes adatainak a közvetlenül a részükre nyújtott szolgáltatások igénybevétele során történő gyűjtésére. A közvetlenül a gyermek részére nyújtott megelőzési és tanácsadási szolgáltatások esetében nincs szükség a szülői felügyelet gyakorlójának hozzájárulására. |
| --- | --- |

(38)

A gyermekek személyes adatai különös védelmet érdemelnek, mivel ők kevésbé lehetnek tisztában a személyes adatok kezelésével összefüggő kockázatokkal, következményeivel és az ahhoz kapcsolódó garanciákkal és jogosultságokkal. Ezt a különös védelmet főként a gyermekek személyes adatainak olyan felhasználására kell alkalmazni, amely marketingcélokat, illetve személyi vagy felhasználói profilok létrehozásának célját szolgálja, továbbá a gyermekek személyes adatainak a közvetlenül a részükre nyújtott szolgáltatások igénybevétele során történő gyűjtésére. A közvetlenül a gyermek részére nyújtott megelőzési és tanácsadási szolgáltatások esetében nincs szükség a szülői felügyelet gyakorlójának hozzájárulására.

| (39) | A személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. A természetes személyt a személyes adatok kezelésével összefüggő kockázatokról, szabályokról, garanciákról és jogokról tájékoztatni kell, valamint arról, hogy hogyan gyakorolhatja az adatkezelés kapcsán megillető jogokat. A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. A pontatlan személyes adatok helyesbítése vagy törlése érdekében minden észszerű lépést meg kell tenni. A személyes adatokat olyan módon kell kezelni, amely biztosítja azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok jogosulatlan felhasználását. |
| --- | --- |

(39)

A személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. A természetes személyt a személyes adatok kezelésével összefüggő kockázatokról, szabályokról, garanciákról és jogokról tájékoztatni kell, valamint arról, hogy hogyan gyakorolhatja az adatkezelés kapcsán megillető jogokat. A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. A pontatlan személyes adatok helyesbítése vagy törlése érdekében minden észszerű lépést meg kell tenni. A személyes adatokat olyan módon kell kezelni, amely biztosítja azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok jogosulatlan felhasználását.

| (40) | Annak érdekében, hogy a személyes adatok kezelése jogszerű legyen, annak az érintett hozzájárulásán kell alapulnia, vagy valamely egyéb jogszerű, jogszabály által megállapított – akár e rendeletben, akár más, az e rendeletben említettek szerinti uniós vagy tagállami jogban foglalt – alappal kell rendelkeznie, ideértve az adatkezelőre vonatkozó jogi kötelezettségeknek való megfelelés szükségességét, az érintett által kötött esetleges szerződés teljesítését, illetve az érintett által kért, a szerződéskötést megelőzően megteendő lépéseket. |
| --- | --- |

(40)

Annak érdekében, hogy a személyes adatok kezelése jogszerű legyen, annak az érintett hozzájárulásán kell alapulnia, vagy valamely egyéb jogszerű, jogszabály által megállapított – akár e rendeletben, akár más, az e rendeletben említettek szerinti uniós vagy tagállami jogban foglalt – alappal kell rendelkeznie, ideértve az adatkezelőre vonatkozó jogi kötelezettségeknek való megfelelés szükségességét, az érintett által kötött esetleges szerződés teljesítését, illetve az érintett által kért, a szerződéskötést megelőzően megteendő lépéseket.

| (41) | Amikor ez a rendelet jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogszabályt. Mindazonáltal az ilyen jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazásának pedig előreláthatónak kell lennie a hatálya alá tartozó személyek számára, összhangban az Európai Unió Bíróságának (a továbbiakban: Bíróság) és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlatával. |
| --- | --- |

(41)

Amikor ez a rendelet jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogszabályt. Mindazonáltal az ilyen jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazásának pedig előreláthatónak kell lennie a hatálya alá tartozó személyek számára, összhangban az Európai Unió Bíróságának (a továbbiakban: Bíróság) és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlatával.

| (42) | Ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Különösen a más ügyben tett írásbeli nyilatkozattal összefüggésben garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. A 93/13/EGK tanácsi irányelvnek (10) megfelelően az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek legalább tisztában kell lennie az adatkezelő kilétével és a személyes adatok kezelésének céljával. A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna. |
| --- | --- |

(42)

Ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Különösen a más ügyben tett írásbeli nyilatkozattal összefüggésben garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. A 93/13/EGK tanácsi irányelvnek (10) megfelelően az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek legalább tisztában kell lennie az adatkezelő kilétével és a személyes adatok kezelésének céljával. A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna.

| (43) | Annak biztosítása érdekében, hogy hozzájárulást önkéntesen adták, a hozzájárulás olyan egyedi esetekben nem szolgálhat érvényes jogalapként a személyes adatok kezeléséhez, amelyekben az érintett és az adatkezelő között egyértelműen egyenlőtlen viszony áll fenn, különösen ha az adatkezelő közhatalmi szerv, és az adott helyzet valamennyi körülményét figyelembe véve ezért valószínűtlen, hogy a szóban forgó hozzájárulás megadása önkéntesen történt. A hozzájárulás nem tekinthető önkéntesnek, ha nem tesz lehetővé külön-külön hozzájárulást a különböző személyes adatkezelési műveletekhez, noha az adott esetben megfelelő, illetve ha egy – például szolgáltatási – szerződés teljesítését a hozzájárulástól teszik függővé, annak ellenére, hogy a hozzájárulás nem szükséges az a szerződés teljesítéséhez. |
| --- | --- |

(43)

Annak biztosítása érdekében, hogy hozzájárulást önkéntesen adták, a hozzájárulás olyan egyedi esetekben nem szolgálhat érvényes jogalapként a személyes adatok kezeléséhez, amelyekben az érintett és az adatkezelő között egyértelműen egyenlőtlen viszony áll fenn, különösen ha az adatkezelő közhatalmi szerv, és az adott helyzet valamennyi körülményét figyelembe véve ezért valószínűtlen, hogy a szóban forgó hozzájárulás megadása önkéntesen történt. A hozzájárulás nem tekinthető önkéntesnek, ha nem tesz lehetővé külön-külön hozzájárulást a különböző személyes adatkezelési műveletekhez, noha az adott esetben megfelelő, illetve ha egy – például szolgáltatási – szerződés teljesítését a hozzájárulástól teszik függővé, annak ellenére, hogy a hozzájárulás nem szükséges az a szerződés teljesítéséhez.

| (44) | Az adatkezelés jogszerűnek minősül, ha arra valamely szerződés vagy szerződéskötési szándék keretében van szükség. |
| --- | --- |

(44)

Az adatkezelés jogszerűnek minősül, ha arra valamely szerződés vagy szerződéskötési szándék keretében van szükség.

| (45) | Ha az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. Ez a rendelet nem követeli meg, hogy az egyes konkrét adatkezelési műveletekre külön-külön jogszabály vonatkozzon. Elegendő lehet az is, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az adatkezelőre vonatkozó jogi kötelezettségen alapul, illetve amelyre közérdekből végzett feladat ellátásához vagy közhatalmi jogosítvány gyakorlásához van szükség. Az adatkezelés célját is uniós vagy tagállami jogban kell meghatározni. E rendeletnek a személyes adatok kezelésének jogszerűségére vonatkozó általános feltételeit ezen túlmenően ezek pontosíthatják, az adatkezelő megjelölésére vonatkozó pontos szabályokat, az adatkezelés tárgyát képező személyes adatok típusát, az érintetteket, azokat a szervezeteket, amelyekkel a személyes adatok közölhetők, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát, valamint egyéb, a jogszerű és tisztességes adatkezelés biztosításához szükséges intézkedéseket is meghatározhatják. Uniós vagy tagállami jog határozza meg továbbá, hogy a közérdekű vagy közhatalmi feladatot teljesítő adatkezelőnek közhatalmi szervnek vagy egyéb, a közjog hatálya alá tartozó természetes vagy jogi személynek, vagy ha ezt a közérdek egészségügyi célok, mint például a népegészségügyi, illetve szociális védelmi és az egészségügyi szolgálatok irányítása miatt indokolttá teszi, a magánjog hatálya alá tartozó szervnek – például szakmai egyesületnek – kell-e lennie. |
| --- | --- |

(45)

Ha az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. Ez a rendelet nem követeli meg, hogy az egyes konkrét adatkezelési műveletekre külön-külön jogszabály vonatkozzon. Elegendő lehet az is, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az adatkezelőre vonatkozó jogi kötelezettségen alapul, illetve amelyre közérdekből végzett feladat ellátásához vagy közhatalmi jogosítvány gyakorlásához van szükség. Az adatkezelés célját is uniós vagy tagállami jogban kell meghatározni. E rendeletnek a személyes adatok kezelésének jogszerűségére vonatkozó általános feltételeit ezen túlmenően ezek pontosíthatják, az adatkezelő megjelölésére vonatkozó pontos szabályokat, az adatkezelés tárgyát képező személyes adatok típusát, az érintetteket, azokat a szervezeteket, amelyekkel a személyes adatok közölhetők, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát, valamint egyéb, a jogszerű és tisztességes adatkezelés biztosításához szükséges intézkedéseket is meghatározhatják. Uniós vagy tagállami jog határozza meg továbbá, hogy a közérdekű vagy közhatalmi feladatot teljesítő adatkezelőnek közhatalmi szervnek vagy egyéb, a közjog hatálya alá tartozó természetes vagy jogi személynek, vagy ha ezt a közérdek egészségügyi célok, mint például a népegészségügyi, illetve szociális védelmi és az egészségügyi szolgálatok irányítása miatt indokolttá teszi, a magánjog hatálya alá tartozó szervnek – például szakmai egyesületnek – kell-e lennie.

| (46) | Az adatkezelést szintén jogszerűnek kell tekinteni akkor, amikor az az érintett életének vagy más fent említett természetes személy érdekeinek védelmében történik. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre elvben csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető. A személyes adatkezelés néhány típusa szolgálhat egyszerre fontos közérdeket és az érintett létfontosságú érdekeit is, például olyan esetben, amikor az adatkezelésre humanitárius okokból, ideértve, ha arra a járványok és terjedéseik nyomon követéséhez, vagy humanitárius vészhelyzetben, különösen természeti vagy ember által okozott katasztrófák esetében van szükség. |
| --- | --- |

(46)

Az adatkezelést szintén jogszerűnek kell tekinteni akkor, amikor az az érintett életének vagy más fent említett természetes személy érdekeinek védelmében történik. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre elvben csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető. A személyes adatkezelés néhány típusa szolgálhat egyszerre fontos közérdeket és az érintett létfontosságú érdekeit is, például olyan esetben, amikor az adatkezelésre humanitárius okokból, ideértve, ha arra a járványok és terjedéseik nyomon követéséhez, vagy humanitárius vészhelyzetben, különösen természeti vagy ember által okozott katasztrófák esetében van szükség.

| (47) | Az adatkezelő – ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik – vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető. |
| --- | --- |

(47)

Az adatkezelő – ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik – vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető.

| (48) | A vállalkozáscsoport vagy központi szervhez kapcsolódó intézmények részét képező adatkezelőknek jogos érdeke fűződhet ahhoz, hogy a vállalkozáscsoporton belül belső adminisztratív célból személyes adatokat továbbítsanak, ideértve az ügyfelek és az alkalmazottak személyes adatainak a kezelését is. A személyes adatok továbbítására vonatkozó általános elvek nem különböznek abban az esetben sem, ha a vállalkozáscsoporton belüli személyes adatok továbbításának címzettje harmadik országban található. |
| --- | --- |

(48)

A vállalkozáscsoport vagy központi szervhez kapcsolódó intézmények részét képező adatkezelőknek jogos érdeke fűződhet ahhoz, hogy a vállalkozáscsoporton belül belső adminisztratív célból személyes adatokat továbbítsanak, ideértve az ügyfelek és az alkalmazottak személyes adatainak a kezelését is. A személyes adatok továbbítására vonatkozó általános elvek nem különböznek abban az esetben sem, ha a vállalkozáscsoporton belüli személyes adatok továbbításának címzettje harmadik országban található.

| (49) | Az érintett adatkezelő jogos érdekének minősül a közhatalmi szervek, számítástechnikai vészhelyzetekre reagáló egység (CERT), hálózatbiztonsági incidenskezelő egységek (CSIRT), elektronikus hírközlési hálózatok üzemeltetői és szolgáltatások nyújtói, valamint biztonságtechnológiai szolgáltatók által végrehajtott olyan mértékű személyes adatkezelés, amely a hálózati és informatikai biztonság garantálásához feltétlenül szükséges és arányos, vagyis adott titkossági szinten az érintett hálózat vagy információs rendszer ellenálló képessége az e hálózatokon és rendszereken tárolt vagy továbbított adatok, valamint az e hálózatok és rendszerek által nyújtott vagy rajtuk keresztül elérhető kapcsolódó szolgáltatások hozzáférhetőségét, hitelességét, integritását és bizalmas jellegét sértő véletlen eseményekkel, illetve jogellenes vagy rosszhiszemű tevékenységekkel szemben. Ez magában foglalhatja például az elektronikus kommunikációs hálózatokhoz való engedély nélküli hozzáférés és a rosszindulatú programterjesztés megakadályozását, továbbá a szolgáltatás megtagadásával járó támadások, valamint a számítógépes és elektronikus kommunikációs rendszerekben való károkozás megállítását. |
| --- | --- |

(49)

Az érintett adatkezelő jogos érdekének minősül a közhatalmi szervek, számítástechnikai vészhelyzetekre reagáló egység (CERT), hálózatbiztonsági incidenskezelő egységek (CSIRT), elektronikus hírközlési hálózatok üzemeltetői és szolgáltatások nyújtói, valamint biztonságtechnológiai szolgáltatók által végrehajtott olyan mértékű személyes adatkezelés, amely a hálózati és informatikai biztonság garantálásához feltétlenül szükséges és arányos, vagyis adott titkossági szinten az érintett hálózat vagy információs rendszer ellenálló képessége az e hálózatokon és rendszereken tárolt vagy továbbított adatok, valamint az e hálózatok és rendszerek által nyújtott vagy rajtuk keresztül elérhető kapcsolódó szolgáltatások hozzáférhetőségét, hitelességét, integritását és bizalmas jellegét sértő véletlen eseményekkel, illetve jogellenes vagy rosszhiszemű tevékenységekkel szemben. Ez magában foglalhatja például az elektronikus kommunikációs hálózatokhoz való engedély nélküli hozzáférés és a rosszindulatú programterjesztés megakadályozását, továbbá a szolgáltatás megtagadásával járó támadások, valamint a számítógépes és elektronikus kommunikációs rendszerekben való károkozás megállítását.

| (50) | A személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. Ha az adatkezelés közérdekből elvégzendő feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása érdekében szükséges, uniós vagy tagállami jog meghatározhatja és pontosan leírhatja azokat a feladatokat és célokat, amelyek tekintetében a további adatkezelés jogszerűnek és összeegyeztethetőnek tekintendő. A közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott további adatkezelést összeegyeztethető, jogszerű adatkezelési műveleteknek kell tekinteni. Az uniós vagy tagállami jogban foglalt, a személyes adatok kezelésére vonatkozó jogalap a további adatkezeléshez is jogalapul szolgálhat. Annak megállapításához, hogy a további adatkezelés célja összeegyeztethető-e a személyes adatok gyűjtésének eredeti céljával, az adatkezelő – az eredeti adatkezelés jogszerűségére vonatkozó valamennyi előírás teljesítését követően – figyelembe veszi többek között minden, az említett eredeti célok és a tervezett további adatkezelési célok között fennálló összefüggést, az adatgyűjtés körülményeit, ideértve különösen az érintettnek a további adatfelhasználásra vonatkozó, az adatkezelővel fennálló kapcsolatán alapuló észszerű elvárásait is, továbbá a személyes adatok jellegét, a tervezett további adatkezelés következményeit az érintettekre nézve, valamint a megfelelő garanciák meglétét mind az eredeti, mind a tervezett további személyesadat-kezelési műveletek során.
  Ha az érintett hozzájárulását adta, illetve ha az adatkezelés uniós vagy tagállami jogon alapul, és egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül bizonyos fontos közérdekek védelme szempontjából, a célok összeegyeztethetőségétől függetlenül az adatkezelő jogosult a szóban forgó adatokon további adatkezelést végezni. Minden esetben biztosítani kell az e rendeletben rögzített elvek érvényesülését, valamint különösen az érintett tájékoztatását ezen egyéb célokról és a jogairól, ideértve a tiltakozáshoz való jogról. Az adatkezelő jogos érdekének tekintendő, ha jelzi a lehetséges bűncselekményeket vagy a közbiztonságot fenyegető veszélyeket, és az ugyanazon bűncselekményhez vagy közbiztonságot fenyegető veszélyhez kapcsolódó releváns személyes adatokat egyedi esetekben vagy több különálló esetben továbbítja az illetékes hatóságnak. Ha azonban az adatkezelés nem egyeztethető össze valamely jogi, szakmai vagy egyéb titoktartási kötelezettséggel, az adatkezelő jogos érdekében álló ilyen adattovábbítást, illetve a személyes adatok további kezelését meg kell tiltani. |
| --- | --- |

(50)

A személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. Ha az adatkezelés közérdekből elvégzendő feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása érdekében szükséges, uniós vagy tagállami jog meghatározhatja és pontosan leírhatja azokat a feladatokat és célokat, amelyek tekintetében a további adatkezelés jogszerűnek és összeegyeztethetőnek tekintendő. A közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott további adatkezelést összeegyeztethető, jogszerű adatkezelési műveleteknek kell tekinteni. Az uniós vagy tagállami jogban foglalt, a személyes adatok kezelésére vonatkozó jogalap a további adatkezeléshez is jogalapul szolgálhat. Annak megállapításához, hogy a további adatkezelés célja összeegyeztethető-e a személyes adatok gyűjtésének eredeti céljával, az adatkezelő – az eredeti adatkezelés jogszerűségére vonatkozó valamennyi előírás teljesítését követően – figyelembe veszi többek között minden, az említett eredeti célok és a tervezett további adatkezelési célok között fennálló összefüggést, az adatgyűjtés körülményeit, ideértve különösen az érintettnek a további adatfelhasználásra vonatkozó, az adatkezelővel fennálló kapcsolatán alapuló észszerű elvárásait is, továbbá a személyes adatok jellegét, a tervezett további adatkezelés következményeit az érintettekre nézve, valamint a megfelelő garanciák meglétét mind az eredeti, mind a tervezett további személyesadat-kezelési műveletek során.

Ha az érintett hozzájárulását adta, illetve ha az adatkezelés uniós vagy tagállami jogon alapul, és egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül bizonyos fontos közérdekek védelme szempontjából, a célok összeegyeztethetőségétől függetlenül az adatkezelő jogosult a szóban forgó adatokon további adatkezelést végezni. Minden esetben biztosítani kell az e rendeletben rögzített elvek érvényesülését, valamint különösen az érintett tájékoztatását ezen egyéb célokról és a jogairól, ideértve a tiltakozáshoz való jogról. Az adatkezelő jogos érdekének tekintendő, ha jelzi a lehetséges bűncselekményeket vagy a közbiztonságot fenyegető veszélyeket, és az ugyanazon bűncselekményhez vagy közbiztonságot fenyegető veszélyhez kapcsolódó releváns személyes adatokat egyedi esetekben vagy több különálló esetben továbbítja az illetékes hatóságnak. Ha azonban az adatkezelés nem egyeztethető össze valamely jogi, szakmai vagy egyéb titoktartási kötelezettséggel, az adatkezelő jogos érdekében álló ilyen adattovábbítást, illetve a személyes adatok további kezelését meg kell tiltani.

| (51) | Az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. Ilyen adatnak minősül a faji vagy etnikai származásra utaló személyes adatok is; e tekintetben megjegyzendő, hogy a „faji származás” kifejezés e rendelet keretében történő alkalmazása nem értelmezhető úgy, hogy az Unió elfogadja a különböző emberi fajok létezésének megállapítására törekvő elméleteket. A fényképek kezelését nem szükséges szisztematikusan különleges adatkezelésnek tekinteni, mivel azokra csak azokban az esetekben vonatkozik a biometrikus adatok fogalommeghatározása, amikor a természetes személy egyedi azonosítását vagy hitelesítését lehetővé tevő speciális eszközzel kezelik őket. Az ilyen adatok nem kezelhetők, kivéve, ha az adatkezelés az e rendeletben meghatározott egyedi esetekben megengedett, azt is figyelembe véve, hogy a tagállami jog különös rendelkezéseket állapíthat meg az adatok védelmére vonatkozóan annak érdekében, hogy kiigazítsák az e rendeletben foglalt szabályok alkalmazását valamely jogi kötelezettségnek való megfelelés vagy közérdekből végzett feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása tekintetében. Az ilyen adatkezelésre vonatkozó konkrét előírásokon kívül e rendelet általános elveit és egyéb szabályait kell alkalmazni, különösen a jogszerű adatkezelés feltételei tekintetében. A személyes adatok ilyen különleges kategóriáinak kezelésére vonatkozó általános tilalomtól való eltérésről kifejezetten rendelkezni kell, ideértve, ha az érintett egyértelmű hozzájárulását adja, vagy bizonyos sajátos adatkezelési szükségletekre tekintettel, különösen, ha az adatkezelést jogszerű tevékenységük keretében olyan egyesületek, illetve alapítványok végzik –, amelyek célja az alapvető szabadságok gyakorlásának lehetővé tétele. |
| --- | --- |

(51)

Az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. Ilyen adatnak minősül a faji vagy etnikai származásra utaló személyes adatok is; e tekintetben megjegyzendő, hogy a „faji származás” kifejezés e rendelet keretében történő alkalmazása nem értelmezhető úgy, hogy az Unió elfogadja a különböző emberi fajok létezésének megállapítására törekvő elméleteket. A fényképek kezelését nem szükséges szisztematikusan különleges adatkezelésnek tekinteni, mivel azokra csak azokban az esetekben vonatkozik a biometrikus adatok fogalommeghatározása, amikor a természetes személy egyedi azonosítását vagy hitelesítését lehetővé tevő speciális eszközzel kezelik őket. Az ilyen adatok nem kezelhetők, kivéve, ha az adatkezelés az e rendeletben meghatározott egyedi esetekben megengedett, azt is figyelembe véve, hogy a tagállami jog különös rendelkezéseket állapíthat meg az adatok védelmére vonatkozóan annak érdekében, hogy kiigazítsák az e rendeletben foglalt szabályok alkalmazását valamely jogi kötelezettségnek való megfelelés vagy közérdekből végzett feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása tekintetében. Az ilyen adatkezelésre vonatkozó konkrét előírásokon kívül e rendelet általános elveit és egyéb szabályait kell alkalmazni, különösen a jogszerű adatkezelés feltételei tekintetében. A személyes adatok ilyen különleges kategóriáinak kezelésére vonatkozó általános tilalomtól való eltérésről kifejezetten rendelkezni kell, ideértve, ha az érintett egyértelmű hozzájárulását adja, vagy bizonyos sajátos adatkezelési szükségletekre tekintettel, különösen, ha az adatkezelést jogszerű tevékenységük keretében olyan egyesületek, illetve alapítványok végzik –, amelyek célja az alapvető szabadságok gyakorlásának lehetővé tétele.

| (52) | A személyes adatok különleges kategóriáira vonatkozó adatkezelési tilalomtól való eltérés szintén megengedhető, ha erről az uniós vagy tagállami jog rendelkezik, és ha arra megfelelő garanciák mellett kerül sor a személyes adatok és más alapvető jogok védelme érdekében, ha ez valamely közérdeken alapul, így különösen a foglalkoztatási jog és a szociális védelmi jog területén, a nyugdíjakat is beleértve, valamint a népegészség-védelem, a nyomonkövetési és riasztási célok, a fertőző betegségek és más súlyos egészségügyi veszélyek megelőzése, valamint az ellenük való védekezés érdekében végzett személyesadat-kezelés esetében. Ezekre az eltérésekre egészségügyi célokból – köztük a népegészségüggyel és az egészségügyi szolgáltatások irányításával kapcsolatos célokból – kerülhet sor, különösen annak biztosítása érdekében, hogy az egészségbiztosítási rendszer szolgáltatásaival és juttatásaival kapcsolatos igények rendezésére szolgáló eljárások magas szintűek és költséghatékonyak legyenek, továbbá a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból. Eltérés alapján az ilyen személyes adatok kezelése olyan esetekben lehetséges, amikor az jogi igények előterjesztése, érvényesítése, illetve védelme céljából szükséges, függetlenül attól, hogy erre bírósági eljárás, közigazgatási, vagy egyéb, nem bírósági útra tatozó eljárás keretében kerül-e sor. |
| --- | --- |

(52)

A személyes adatok különleges kategóriáira vonatkozó adatkezelési tilalomtól való eltérés szintén megengedhető, ha erről az uniós vagy tagállami jog rendelkezik, és ha arra megfelelő garanciák mellett kerül sor a személyes adatok és más alapvető jogok védelme érdekében, ha ez valamely közérdeken alapul, így különösen a foglalkoztatási jog és a szociális védelmi jog területén, a nyugdíjakat is beleértve, valamint a népegészség-védelem, a nyomonkövetési és riasztási célok, a fertőző betegségek és más súlyos egészségügyi veszélyek megelőzése, valamint az ellenük való védekezés érdekében végzett személyesadat-kezelés esetében. Ezekre az eltérésekre egészségügyi célokból – köztük a népegészségüggyel és az egészségügyi szolgáltatások irányításával kapcsolatos célokból – kerülhet sor, különösen annak biztosítása érdekében, hogy az egészségbiztosítási rendszer szolgáltatásaival és juttatásaival kapcsolatos igények rendezésére szolgáló eljárások magas szintűek és költséghatékonyak legyenek, továbbá a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból. Eltérés alapján az ilyen személyes adatok kezelése olyan esetekben lehetséges, amikor az jogi igények előterjesztése, érvényesítése, illetve védelme céljából szükséges, függetlenül attól, hogy erre bírósági eljárás, közigazgatási, vagy egyéb, nem bírósági útra tatozó eljárás keretében kerül-e sor.

| (53) | A különleges kategóriába tartozó, magasabb szintű védelmet igénylő személyes adatokat kizárólag abban az esetben lehet az egészséggel kapcsolatos célokból kezelni, ha az az említett céloknak a természetes személyek és a társadalom egészének érdekében történő eléréséhez szükséges, különösen az egészségügyi és szociális szolgáltatások és rendszerek irányításának összefüggésében, beleértve azt is, amikor az irányító és központi nemzeti egészségügyi hatóságok a következő célokból végzik az ilyen adatok kezelését: minőségellenőrzés, információkezelés, valamint az egészségügyi és szociális rendszer általános országos és helyi felügyelete, továbbá az egészségügyi és szociális ellátás, a határokon átnyúló egészségügyi ellátás, valamint a népegészség-védelem folytonosságának biztosítása, nyomonkövetési és riasztási célok, a közérdekű archiválás céljából, tudományos és történelmi kutatási vagy statisztikai célból közérdekű célt szolgáló uniós vagy tagállami jog alapján, illetve a népegészség területén közérdekből készített tanulmányok céljából. Ebből kifolyólag a sajátos adatkezelési szükségletek tekintetében ebben a rendeletben harmonizált feltételeket kell meghatározni az egészségügyi személyes adatok különleges kategóriáinak kezelésére vonatkozóan, különösen azt illetően, ha ezen adatok kezelését bizonyos egészséggel kapcsolatos célokból olyan személyek végzik, akikre jogszabályban megállapított szakmai titoktartási kötelezettség vonatkozik. Az uniós vagy tagállami jogban rendelkezni kell olyan célzott és megfelelő intézkedésekről, amelyek a természetes személyek alapvető jogainak és személyes adatainak védelmére irányulnak. A tagállamok további feltételeket – például korlátozásokat – tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan. Ez azonban nem akadályozhatja a személyes adatok Unión belüli szabad áramlását azokban az esetekben, amikor az említett feltételek az ilyen adatok határokon átnyúló kezelésére vonatkoznak. |
| --- | --- |

(53)

A különleges kategóriába tartozó, magasabb szintű védelmet igénylő személyes adatokat kizárólag abban az esetben lehet az egészséggel kapcsolatos célokból kezelni, ha az az említett céloknak a természetes személyek és a társadalom egészének érdekében történő eléréséhez szükséges, különösen az egészségügyi és szociális szolgáltatások és rendszerek irányításának összefüggésében, beleértve azt is, amikor az irányító és központi nemzeti egészségügyi hatóságok a következő célokból végzik az ilyen adatok kezelését: minőségellenőrzés, információkezelés, valamint az egészségügyi és szociális rendszer általános országos és helyi felügyelete, továbbá az egészségügyi és szociális ellátás, a határokon átnyúló egészségügyi ellátás, valamint a népegészség-védelem folytonosságának biztosítása, nyomonkövetési és riasztási célok, a közérdekű archiválás céljából, tudományos és történelmi kutatási vagy statisztikai célból közérdekű célt szolgáló uniós vagy tagállami jog alapján, illetve a népegészség területén közérdekből készített tanulmányok céljából. Ebből kifolyólag a sajátos adatkezelési szükségletek tekintetében ebben a rendeletben harmonizált feltételeket kell meghatározni az egészségügyi személyes adatok különleges kategóriáinak kezelésére vonatkozóan, különösen azt illetően, ha ezen adatok kezelését bizonyos egészséggel kapcsolatos célokból olyan személyek végzik, akikre jogszabályban megállapított szakmai titoktartási kötelezettség vonatkozik. Az uniós vagy tagállami jogban rendelkezni kell olyan célzott és megfelelő intézkedésekről, amelyek a természetes személyek alapvető jogainak és személyes adatainak védelmére irányulnak. A tagállamok további feltételeket – például korlátozásokat – tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan. Ez azonban nem akadályozhatja a személyes adatok Unión belüli szabad áramlását azokban az esetekben, amikor az említett feltételek az ilyen adatok határokon átnyúló kezelésére vonatkoznak.

| (54) | A népegészség területén közérdekből szükséges lehet a személyes adatok különleges kategóriáinak az érintett hozzájárulása nélkül történő kezelése. Az ilyen adatkezelés vonatkozásában a természetes személyek jogainak és szabadságainak védelme érdekében, megfelelő és célzott intézkedéseket kell hozni. Ebben az összefüggésben a „népegészség” fogalmát az 1338/2008/EK európai parlamenti és tanácsi rendeletben (11) meghatározottak szerint a következőképpen kell értelmezni: valamennyi, az egészséggel kapcsolatos elem, nevezetesen az egészségi állapot – beleértve a morbiditást és a fogyatékosságot –, az egészségi állapotot meghatározó tényezők, az egészségügyi ellátással kapcsolatos igények, az egészségügyi ellátásra biztosított források, az egészségügyi ellátás nyújtása és az ahhoz való általános hozzáférés, valamint az egészségügyi ellátással kapcsolatos kiadások és finanszírozás, továbbá a halálokok. Az egészségügyi adatok ilyen közérdekű kezelése nem eredményezheti a személyes adatok más célokból harmadik személyek, így munkáltatók, vagy biztosítók és bankok általi kezelését. |
| --- | --- |

(54)

A népegészség területén közérdekből szükséges lehet a személyes adatok különleges kategóriáinak az érintett hozzájárulása nélkül történő kezelése. Az ilyen adatkezelés vonatkozásában a természetes személyek jogainak és szabadságainak védelme érdekében, megfelelő és célzott intézkedéseket kell hozni. Ebben az összefüggésben a „népegészség” fogalmát az 1338/2008/EK európai parlamenti és tanácsi rendeletben (11) meghatározottak szerint a következőképpen kell értelmezni: valamennyi, az egészséggel kapcsolatos elem, nevezetesen az egészségi állapot – beleértve a morbiditást és a fogyatékosságot –, az egészségi állapotot meghatározó tényezők, az egészségügyi ellátással kapcsolatos igények, az egészségügyi ellátásra biztosított források, az egészségügyi ellátás nyújtása és az ahhoz való általános hozzáférés, valamint az egészségügyi ellátással kapcsolatos kiadások és finanszírozás, továbbá a halálokok. Az egészségügyi adatok ilyen közérdekű kezelése nem eredményezheti a személyes adatok más célokból harmadik személyek, így munkáltatók, vagy biztosítók és bankok általi kezelését.

| (55) | A személyes adatok hatóságok általi, hivatalosan elismert vallási szervezetek alkotmányjogban vagy nemzetközi közjogban megállapított céljainak elérése érdekében történő kezelése közérdeken alapulónak minősül. |
| --- | --- |

(55)

A személyes adatok hatóságok általi, hivatalosan elismert vallási szervezetek alkotmányjogban vagy nemzetközi közjogban megállapított céljainak elérése érdekében történő kezelése közérdeken alapulónak minősül.

| (56) | Ha választással kapcsolatos tevékenységek során valamely tagállamban a demokratikus rendszer működése megkívánja, hogy a politikai pártok személyes adatokat gyűjtsenek az emberek politikai véleményéről, akkor az ilyen adatok kezelése közérdekből megengedhető, feltéve hogy megfelelő garanciák vannak érvényben. |
| --- | --- |

(56)

Ha választással kapcsolatos tevékenységek során valamely tagállamban a demokratikus rendszer működése megkívánja, hogy a politikai pártok személyes adatokat gyűjtsenek az emberek politikai véleményéről, akkor az ilyen adatok kezelése közérdekből megengedhető, feltéve hogy megfelelő garanciák vannak érvényben.

| (57) | Ha az adatkezelő által kezelt személyes adatok nem teszik lehetővé az adatkezelő számára valamely természetes személy azonosítását, akkor az adatkezelőt az érintett személyazonosságának megállapítása érdekben nem lehet további információk beszerzésére kötelezni annak érdekében, hogy az adatkezelő megfeleljen e rendelet valamely rendelkezésének. Az adatkezelő ugyanakkor nem utasíthatja vissza az érintett által a jogai gyakorlásának támogatása érdekében nyújtott további információkat. Az azonosítás magában foglalja az érintettek például olyan hitelesítési mechanizmus révén történő digitális azonosítását, amelynek keretében az érintett ugyanazokat a belépési azonosító adatokat adja meg, amelyeket az adatkezelő által nyújtott online szolgáltatáshoz történő bejelentkezéshez használ. |
| --- | --- |

(57)

Ha az adatkezelő által kezelt személyes adatok nem teszik lehetővé az adatkezelő számára valamely természetes személy azonosítását, akkor az adatkezelőt az érintett személyazonosságának megállapítása érdekben nem lehet további információk beszerzésére kötelezni annak érdekében, hogy az adatkezelő megfeleljen e rendelet valamely rendelkezésének. Az adatkezelő ugyanakkor nem utasíthatja vissza az érintett által a jogai gyakorlásának támogatása érdekében nyújtott további információkat. Az azonosítás magában foglalja az érintettek például olyan hitelesítési mechanizmus révén történő digitális azonosítását, amelynek keretében az érintett ugyanazokat a belépési azonosító adatokat adja meg, amelyeket az adatkezelő által nyújtott online szolgáltatáshoz történő bejelentkezéshez használ.

| (58) | Az átláthatóság elve megköveteli, hogy a nyilvánosságnak vagy az érintettnek nyújtott tájékoztatás tömör, könnyen hozzáférhető és könnyen érthető legyen, valamint hogy azt világos és közérthető nyelven fogalmazzák meg, illetve – ezen túlmenően – szükség esetén vizuálisan is megjelenítsék. Az ilyen tájékoztatás nyújtható elektronikus formátumban is, így például a nyilvánosságnak szánt tájékoztatás közölhető valamely honlapon keresztül. Ez különösen olyan helyzetekben lehet fontos, amikor a szereplők nagy száma és a gyakorlat technológiai összetettsége megnehezíti az érintett számára annak megismerését és megértését, hogy gyűjtenek-e róla személyes adatokat, és ha igen, ki és milyen célból, ilyen például az online reklámozás esete. Mivel a gyermekek különös védelmet igényelnek, a kifejezetten gyermekekre vonatkozó adatkezelés vonatkozásában minden információt és kommunikációt olyan világos és közérthető nyelven kell megfogalmazni, amelyet a gyermek könnyen megért. |
| --- | --- |

(58)

Az átláthatóság elve megköveteli, hogy a nyilvánosságnak vagy az érintettnek nyújtott tájékoztatás tömör, könnyen hozzáférhető és könnyen érthető legyen, valamint hogy azt világos és közérthető nyelven fogalmazzák meg, illetve – ezen túlmenően – szükség esetén vizuálisan is megjelenítsék. Az ilyen tájékoztatás nyújtható elektronikus formátumban is, így például a nyilvánosságnak szánt tájékoztatás közölhető valamely honlapon keresztül. Ez különösen olyan helyzetekben lehet fontos, amikor a szereplők nagy száma és a gyakorlat technológiai összetettsége megnehezíti az érintett számára annak megismerését és megértését, hogy gyűjtenek-e róla személyes adatokat, és ha igen, ki és milyen célból, ilyen például az online reklámozás esete. Mivel a gyermekek különös védelmet igényelnek, a kifejezetten gyermekekre vonatkozó adatkezelés vonatkozásában minden információt és kommunikációt olyan világos és közérthető nyelven kell megfogalmazni, amelyet a gyermek könnyen megért.

| (59) | Az érintettek e rendeletben biztosított jogainak gyakorlását megkönnyítő intézkedéseket kell biztosítani, ideértve olyan mechanizmusok biztosítását, amely által többek között az érintettnek lehetősége van díjmentesen kérelmezni, illetve adott esetben megkapni különösen a személyes adatokhoz való hozzáférést, azok helyesbítését és törlését, valamint gyakorolja a tiltakozáshoz való jogát. Az adatkezelő ennek megfelelően biztosítja a kérelmek elektronikus benyújtását lehetővé tevő eszközöket is különösen, ha a személyes adatok kezelése elektronikus úton történik. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül válaszoljon, és ha az adatkezelő az érintett bármely kérelmének nem tesz eleget, indokolnia kell azt. |
| --- | --- |

(59)

Az érintettek e rendeletben biztosított jogainak gyakorlását megkönnyítő intézkedéseket kell biztosítani, ideértve olyan mechanizmusok biztosítását, amely által többek között az érintettnek lehetősége van díjmentesen kérelmezni, illetve adott esetben megkapni különösen a személyes adatokhoz való hozzáférést, azok helyesbítését és törlését, valamint gyakorolja a tiltakozáshoz való jogát. Az adatkezelő ennek megfelelően biztosítja a kérelmek elektronikus benyújtását lehetővé tevő eszközöket is különösen, ha a személyes adatok kezelése elektronikus úton történik. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül válaszoljon, és ha az adatkezelő az érintett bármely kérelmének nem tesz eleget, indokolnia kell azt.

| (60) | A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az adatkezelő olyan további információt is az érintett rendelkezésére bocsát, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. Az érintettet továbbá a profilalkotás tényéről és annak következményeiről tájékoztatni kell. Ha a személyes adatokat az érintettől gyűjtik, az érintettet arról is tájékoztatni kell, hogy köteles-e a személyes adatokat közölni, valamint hogy az adatszolgáltatás elmaradása milyen következményekkel jár. Ezeket az információkat szabványosított ikonokkal is ki lehet egészíteni annak érdekében, hogy az érintett a tervezett adatkezelésről jól látható, könnyen érthető és jól olvasható formában általános tájékoztatást kapjon. Amikor az ikonokat elektronikus formátumban jelenítik meg, azoknak géppel olvashatóknak kell lenniük. |
| --- | --- |

(60)

A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az adatkezelő olyan további információt is az érintett rendelkezésére bocsát, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. Az érintettet továbbá a profilalkotás tényéről és annak következményeiről tájékoztatni kell. Ha a személyes adatokat az érintettől gyűjtik, az érintettet arról is tájékoztatni kell, hogy köteles-e a személyes adatokat közölni, valamint hogy az adatszolgáltatás elmaradása milyen következményekkel jár. Ezeket az információkat szabványosított ikonokkal is ki lehet egészíteni annak érdekében, hogy az érintett a tervezett adatkezelésről jól látható, könnyen érthető és jól olvasható formában általános tájékoztatást kapjon. Amikor az ikonokat elektronikus formátumban jelenítik meg, azoknak géppel olvashatóknak kell lenniük.

| (61) | Az érintettre vonatkozó személyes adatok kezelésével összefüggő tájékoztatást az adatgyűjtés időpontjában kell az érintett részére megadni, illetve ha az adatokat nem az érintettől, hanem más forrásból gyűjtötték, az ügy körülményeit figyelembe véve, észszerű határidőn belül kell rendelkezésre bocsátani. Ha a személyes adatok jogszerűen közölhetőek más címzettel, a címzettel történő első közléskor arról az érintettet tájékoztatni kell. Ha az adatkezelő a személyes adatokat a gyűjtésük eredeti céljától eltérő célból kívánja kezelni, a további adatkezelést megelőzően az érintettet erről az eltérő célról és minden egyéb szükséges tudnivalóról tájékoztatnia kell. Ha az adatkezelő nem tud tájékoztatást nyújtani az érintett részére a személyes adatok eredetéről, mivel azok különböző forrásokból származnak, általános tájékoztatást kell adni. |
| --- | --- |

(61)

Az érintettre vonatkozó személyes adatok kezelésével összefüggő tájékoztatást az adatgyűjtés időpontjában kell az érintett részére megadni, illetve ha az adatokat nem az érintettől, hanem más forrásból gyűjtötték, az ügy körülményeit figyelembe véve, észszerű határidőn belül kell rendelkezésre bocsátani. Ha a személyes adatok jogszerűen közölhetőek más címzettel, a címzettel történő első közléskor arról az érintettet tájékoztatni kell. Ha az adatkezelő a személyes adatokat a gyűjtésük eredeti céljától eltérő célból kívánja kezelni, a további adatkezelést megelőzően az érintettet erről az eltérő célról és minden egyéb szükséges tudnivalóról tájékoztatnia kell. Ha az adatkezelő nem tud tájékoztatást nyújtani az érintett részére a személyes adatok eredetéről, mivel azok különböző forrásokból származnak, általános tájékoztatást kell adni.

| (62) | Mindazonáltal a tájékoztatás nyújtására vonatkozó kötelezettség előírása nem szükséges, ha az érintettnek ez az információ már a birtokában van, vagy ha a személyes adat rögzítését, illetve közlését valamely jogszabály kifejezetten előírja, vagy ha az érintett tájékoztatása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne. E helyzet állhat elő különösen akkor, ha az adatkezelés közérdekű archiválás célt, tudományos és történelmi kutatási célt vagy statisztikai célt szolgál. E tekintetben az érintettek számát, az adatok korát, valamint az elfogadott megfelelő garanciákat figyelembe kell venni. |
| --- | --- |

(62)

Mindazonáltal a tájékoztatás nyújtására vonatkozó kötelezettség előírása nem szükséges, ha az érintettnek ez az információ már a birtokában van, vagy ha a személyes adat rögzítését, illetve közlését valamely jogszabály kifejezetten előírja, vagy ha az érintett tájékoztatása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne. E helyzet állhat elő különösen akkor, ha az adatkezelés közérdekű archiválás célt, tudományos és történelmi kutatási célt vagy statisztikai célt szolgál. E tekintetben az érintettek számát, az adatok korát, valamint az elfogadott megfelelő garanciákat figyelembe kell venni.

| (63) | Az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz – mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk – hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés – legalább abban az esetben, amikor az profilalkotásra épül – milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik. |
| --- | --- |

(63)

Az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz – mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk – hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés – legalább abban az esetben, amikor az profilalkotásra épül – milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik.

| (64) | Az adatkezelő minden észszerű intézkedést megtesz a hozzáférést kérő érintett személyazonosságának megállapítására, különösen az online szolgáltatásokkal és az online azonosítókkal összefüggésben. Az adatkezelő nem őrizheti meg a személyes adatokat kizárólag abból a célból, hogy a lehetséges kérelmeket meg tudja válaszolni. |
| --- | --- |

(64)

Az adatkezelő minden észszerű intézkedést megtesz a hozzáférést kérő érintett személyazonosságának megállapítására, különösen az online szolgáltatásokkal és az online azonosítókkal összefüggésben. Az adatkezelő nem őrizheti meg a személyes adatokat kizárólag abból a célból, hogy a lehetséges kérelmeket meg tudja válaszolni.

| (65) | Az érintett jogosult arra, hogy kérhesse a rá vonatkozó személyes adatok helyesbítését és megilleti őt az „elfeledtetéshez való jog”, ha a szóban forgó adatok megőrzése sérti e rendeletet vagy az olyan uniós vagy tagállami jogot, amelynek hatálya az adatkezelőre kiterjed. Az érintett jogosult különösen arra, hogy személyes adatait töröljék és a továbbiakban ne kezeljék, ha a személyes adatok gyűjtése vagy más módon való kezelése az adatkezelés eredeti céljaival összefüggésben már nincs szükség, vagy ha az érintettek visszavonták az adatok kezeléshez adott hozzájárulásukat, vagy ha személyes adataik kezelése egyéb szempontból nem felel meg e rendeletnek. Ez a jog különösen akkor lényeges, ha az érintett gyermekként adta meg hozzájárulását, amikor még nem volt teljes mértékben tisztában az adatkezelés kockázataival, később pedig el akarja távolítani a szóban forgó személyes adatokat, különösen az internetről. Az érintett e jogát gyakorolhatja akkor is, ha már nem gyermek. Ugyanakkor a személyes adatok további megőrzése jogszerűnek tekinthető, ha az a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása, valamely jogi kötelezettségnek való megfelelés, illetőleg közérdekből végzett feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása miatt, vagy a népegészségügy területét érintő közérdekből, közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, vagy jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges. |
| --- | --- |

(65)

Az érintett jogosult arra, hogy kérhesse a rá vonatkozó személyes adatok helyesbítését és megilleti őt az „elfeledtetéshez való jog”, ha a szóban forgó adatok megőrzése sérti e rendeletet vagy az olyan uniós vagy tagállami jogot, amelynek hatálya az adatkezelőre kiterjed. Az érintett jogosult különösen arra, hogy személyes adatait töröljék és a továbbiakban ne kezeljék, ha a személyes adatok gyűjtése vagy más módon való kezelése az adatkezelés eredeti céljaival összefüggésben már nincs szükség, vagy ha az érintettek visszavonták az adatok kezeléshez adott hozzájárulásukat, vagy ha személyes adataik kezelése egyéb szempontból nem felel meg e rendeletnek. Ez a jog különösen akkor lényeges, ha az érintett gyermekként adta meg hozzájárulását, amikor még nem volt teljes mértékben tisztában az adatkezelés kockázataival, később pedig el akarja távolítani a szóban forgó személyes adatokat, különösen az internetről. Az érintett e jogát gyakorolhatja akkor is, ha már nem gyermek. Ugyanakkor a személyes adatok további megőrzése jogszerűnek tekinthető, ha az a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása, valamely jogi kötelezettségnek való megfelelés, illetőleg közérdekből végzett feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása miatt, vagy a népegészségügy területét érintő közérdekből, közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, vagy jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges.

| (66) | Az elfeledtetéshez való jog online környezetben történő megerősítése érdekében a törléshez való jogot emellett oly módon szükséges kiterjeszteni, hogy a személyes adatokat nyilvánosságra hozó adatkezelőnek észszerű lépéseket kell tennie – ideértve a technikai intézkedések alkalmazását is – annak érdekében, hogy az ilyen személyes adatokat kezelő adatkezelőket tájékoztassa arról, hogy az érintett kezdeményezte a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. E tájékoztatás során az adatkezelő a rendelkezésre álló technológiát és a végrehajtás költségeit figyelembe veszi annak érdekében, hogy a személyes adatokat kezelő adatkezelők értesüljenek az érintett kéréséről. |
| --- | --- |

(66)

Az elfeledtetéshez való jog online környezetben történő megerősítése érdekében a törléshez való jogot emellett oly módon szükséges kiterjeszteni, hogy a személyes adatokat nyilvánosságra hozó adatkezelőnek észszerű lépéseket kell tennie – ideértve a technikai intézkedések alkalmazását is – annak érdekében, hogy az ilyen személyes adatokat kezelő adatkezelőket tájékoztassa arról, hogy az érintett kezdeményezte a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. E tájékoztatás során az adatkezelő a rendelkezésre álló technológiát és a végrehajtás költségeit figyelembe veszi annak érdekében, hogy a személyes adatokat kezelő adatkezelők értesüljenek az érintett kéréséről.

| (67) | A személyes adatok kezelésének korlátozására alkalmazott módszerek közé tartozhat többek között a szóban forgó személyes adatoknak egy másik adatkezelő rendszerbe történő ideiglenes áthelyezése vagy a felhasználók számára való hozzáférhetőségük megszüntetése, vagy egy honlapról az ott közzétett adatok ideiglenes eltávolítása. Az adatkezelés korlátozását az automatizált nyilvántartási rendszerekben alapvetően technikai eszközökkel kell biztosítani, oly módon, hogy a személyes adatokon további adatkezelési műveleteket ne végezzenek el és azokat ne lehessen megváltoztatni. Azt a tényt, hogy a személyes adatok kezelése korlátozott, egyértelműen jelezni kell a rendszerben. |
| --- | --- |

(67)

A személyes adatok kezelésének korlátozására alkalmazott módszerek közé tartozhat többek között a szóban forgó személyes adatoknak egy másik adatkezelő rendszerbe történő ideiglenes áthelyezése vagy a felhasználók számára való hozzáférhetőségük megszüntetése, vagy egy honlapról az ott közzétett adatok ideiglenes eltávolítása. Az adatkezelés korlátozását az automatizált nyilvántartási rendszerekben alapvetően technikai eszközökkel kell biztosítani, oly módon, hogy a személyes adatokon további adatkezelési műveleteket ne végezzenek el és azokat ne lehessen megváltoztatni. Azt a tényt, hogy a személyes adatok kezelése korlátozott, egyértelműen jelezni kell a rendszerben.

| (68) | Ha a személyes adatok kezelése automatizált módon történik, az érintettek számára – a saját adataik feletti rendelkezés további erősítése érdekében – lehetővé kell tenni azt is, hogy az általuk az adatkezelő rendelkezésére bocsátott, rájuk vonatkozó személyes adatokat tagolt, széles körben használt, géppel olvasható és interoperábilis formátumban megkapják, és azokat egy másik adatkezelő részére továbbítsák. Az adatkezelőket ösztönözni kell, hogy az adathordozhatóságot lehetővé tevő interoperábilis formátumokat fejlesszenek ki. Ez a jog abban az esetben gyakorolható, ha az érintett a személyes adatokat a hozzájárulása alapján bocsátotta rendelkezésre, illetve ha az adatkezelés szerződés teljesítéséhez szükséges. E jog nem gyakorolható akkor, ha az adatkezelés jogalapja a hozzájárulástól vagy szerződéstől eltérő egyéb jogalap. Ez a jog természeténél fogva nem állhat fenn olyan adatkezelőkkel szemben, akik a személyes adatok kezelését közhatalmi feladataik gyakorlása keretében végzik. Ennélfogva nem gyakorolható különösen akkor, ha a személyes adatok kezelésére valamely, az adatkezelőre alkalmazandó jogi kötelezettség teljesítéséhez, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához szükséges. Az érintett azon joga, hogy továbbítsa, illetve megkapja a rá vonatkozóan kezelt személyes adatokat, nem teremthet olyan kötelezettséget az adatkezelők számára, hogy egymással műszakilag kompatibilis adatkezelő rendszereket vezessenek be vagy tartsanak fenn. Ha egy adott személyes adatállomány egynél több érintettre vonatkozik, a személyes adatok megszerzéséhez való jog nem sértheti az egyéb érintettek e rendelet szerinti jogait. Ez a jog nem érinti továbbá az érintettnek jogát arra, hogy a személyes adatainak törlését elérje, sem pedig az e jogra vonatkozóan e rendeletben megállapított korlátozásokat, továbbá nem járhat különösen az érintettre vonatkozó olyan személyes adatok törlésével, amelyeket az érintett valamely szerződés teljesítése céljából bocsátott rendelkezésre, ha és ameddig a szóban forgó személyes adatokra szükség van az adott szerződés teljesítéséhez. Az érintett jogosult arra, hogy az adatokat az adatkezelők egymás között közvetlenül továbbítsák, ha ez technikailag megvalósítható. |
| --- | --- |

(68)

Ha a személyes adatok kezelése automatizált módon történik, az érintettek számára – a saját adataik feletti rendelkezés további erősítése érdekében – lehetővé kell tenni azt is, hogy az általuk az adatkezelő rendelkezésére bocsátott, rájuk vonatkozó személyes adatokat tagolt, széles körben használt, géppel olvasható és interoperábilis formátumban megkapják, és azokat egy másik adatkezelő részére továbbítsák. Az adatkezelőket ösztönözni kell, hogy az adathordozhatóságot lehetővé tevő interoperábilis formátumokat fejlesszenek ki. Ez a jog abban az esetben gyakorolható, ha az érintett a személyes adatokat a hozzájárulása alapján bocsátotta rendelkezésre, illetve ha az adatkezelés szerződés teljesítéséhez szükséges. E jog nem gyakorolható akkor, ha az adatkezelés jogalapja a hozzájárulástól vagy szerződéstől eltérő egyéb jogalap. Ez a jog természeténél fogva nem állhat fenn olyan adatkezelőkkel szemben, akik a személyes adatok kezelését közhatalmi feladataik gyakorlása keretében végzik. Ennélfogva nem gyakorolható különösen akkor, ha a személyes adatok kezelésére valamely, az adatkezelőre alkalmazandó jogi kötelezettség teljesítéséhez, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához szükséges. Az érintett azon joga, hogy továbbítsa, illetve megkapja a rá vonatkozóan kezelt személyes adatokat, nem teremthet olyan kötelezettséget az adatkezelők számára, hogy egymással műszakilag kompatibilis adatkezelő rendszereket vezessenek be vagy tartsanak fenn. Ha egy adott személyes adatállomány egynél több érintettre vonatkozik, a személyes adatok megszerzéséhez való jog nem sértheti az egyéb érintettek e rendelet szerinti jogait. Ez a jog nem érinti továbbá az érintettnek jogát arra, hogy a személyes adatainak törlését elérje, sem pedig az e jogra vonatkozóan e rendeletben megállapított korlátozásokat, továbbá nem járhat különösen az érintettre vonatkozó olyan személyes adatok törlésével, amelyeket az érintett valamely szerződés teljesítése céljából bocsátott rendelkezésre, ha és ameddig a szóban forgó személyes adatokra szükség van az adott szerződés teljesítéséhez. Az érintett jogosult arra, hogy az adatokat az adatkezelők egymás között közvetlenül továbbítsák, ha ez technikailag megvalósítható.

| (69) | Bármely érintett számára akkor is biztosítani kell a jogot arra, hogy az egyedi helyzetükre vonatkozó adatok kezelése ellen tiltakozzon, ha a személyes adatok jogszerűen kezelhetők, mert az adatkezelésre közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához, illetve az adatkezelő vagy egy harmadik fél jogos érdekei alapján van szükség. Az adatkezelő bizonyítja, hogy az érintett érdekeivel vagy alapvető jogaival és szabadságaival szemben az ő kényszerítő erejű jogos érdeke elsőbbséget élvezhet. |
| --- | --- |

(69)

Bármely érintett számára akkor is biztosítani kell a jogot arra, hogy az egyedi helyzetükre vonatkozó adatok kezelése ellen tiltakozzon, ha a személyes adatok jogszerűen kezelhetők, mert az adatkezelésre közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához, illetve az adatkezelő vagy egy harmadik fél jogos érdekei alapján van szükség. Az adatkezelő bizonyítja, hogy az érintett érdekeivel vagy alapvető jogaival és szabadságaival szemben az ő kényszerítő erejű jogos érdeke elsőbbséget élvezhet.

| (70) | Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett számára biztosítani kell a jogot arra, hogy bármikor díjmentesen tiltakozzon a rá vonatkozó személyes adatok e célból történő – eredeti vagy további – kezelése ellen, amelybe beletartozik a profilalkotás is, ha az a közvetlen üzletszerzéshez kapcsolódik. Az érintett figyelmét e jogra kifejezetten fel kell hívni, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni. |
| --- | --- |

(70)

Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett számára biztosítani kell a jogot arra, hogy bármikor díjmentesen tiltakozzon a rá vonatkozó személyes adatok e célból történő – eredeti vagy további – kezelése ellen, amelybe beletartozik a profilalkotás is, ha az a közvetlen üzletszerzéshez kapcsolódik. Az érintett figyelmét e jogra kifejezetten fel kell hívni, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.

| (71) | Az érintett jogosult arra, hogy ne terjedjen ki rá olyan, kizárólag automatizált adatkezelésen alapuló – akár intézkedést is magában foglaló – döntés hatálya, amely a rá vonatkozó egyes személyes jellemzők kiértékelésén alapul, és amely rá nézve joghatással jár vagy őt hasonlóan jelentős mértékben érinti, mint például egy online hitelkérelem automatikus elutasítása vagy emberi beavatkozás nélkül folytatott online munkaerő-toborzás. Ilyen adatkezelésnek minősül a „profilalkotás” is, vagyis a természetes személyekre vonatkozó személyes jellemzők bármilyen automatizált személyes adatok kezelése keretében történő kiértékelése, különösen az érintett munkahelyi teljesítményére, gazdasági helyzetére, egészségi állapotára, személyes preferenciáira vagy érdeklődési körökre, megbízhatóságra vagy viselkedésre, tartózkodási helyére vagy mozgására vonatkozó jellemzők elemzésére és előrejelzésére, ha az az érintettre nézve joghatással jár vagy őt hasonlóan jelentős mértékben érinti. Megengedhető azonban az efféle adatkezelésen – ideértve profilalkotást is – alapuló döntéshozatal, ha azt az olyan uniós vagy tagállami jog kifejezetten engedélyezi, amelynek hatálya alá az adatkezelő tartozik, például a csalások és az adócsalás nyomon követése és megelőzése céljából, feltéve hogy erre az uniós intézmények vagy a tagállami felügyeleti hatóságok szabályaival, előírásaival és ajánlásaival összhangban kerül sor, vagy az adatkezelő által nyújtott szolgáltatás biztonságának és megbízhatóságának a biztosítása érdekében, vagy ha arra valamely, az érintett és egy adatkezelő közötti szerződés megkötése vagy teljesítése érdekében van szükség, vagy ha az érintett ahhoz kifejezett hozzájárulását adta. Az ilyen adatkezelés mindazonáltal csakis megfelelő garanciák mellett végezhető, amelybe beletartozik az érintett külön tájékoztatása és az ahhoz való joga, hogy emberi beavatkozást kérjen és kapjon, különösen hogy kifejtse álláspontját, hogy magyarázatot kapjon az ilyen értékelés alapján hozott döntésről és hogy megtámadja a döntést. Az ilyen intézkedés gyermekre nem vonatkozhat.
  Az érintett szempontjából tekintve tisztességes és átlátható adatkezelés biztosítása érdekében – az adatkezelés konkrét körülményeinek figyelembevételével – az adatkezelő a profilalkotáshoz megfelelő matematikai és statisztikai eljárásokat alkalmaz, olyan technikai és szervezési intézkedéseket vezet be, amelyek biztosítják különösen az adatok pontatlanságát előidéző tényezők korrekcióját és a hibalehetőségek minimálisra csökkentését, továbbá a személyes adatok biztonságáról oly módon gondoskodik, amely az érintett érdekeit és jogait potenciálisan veszélyeztető tényezőket figyelembe veszi, és amely megakadályozza egyebek között az olyan hatások érvényesülését, amelyek a természetes személyek közötti hátrányos megkülönböztetést eredményeznek faji vagy etnikai származás, politikai vélemény, vallási vagy világnézeti meggyőződés, szakszervezeti tagság, genetikai vagy egészségi állapot, szexuális irányultság vagy nemi identitás alapján, illetve amelyek ilyen hatást kiváltó intézkedésekhez vezetnek. A személyes adatok különleges kategóriáit célzó automatizált döntéshozatal és profilalkotás csak bizonyos meghatározott feltételek mellett engedélyezhető. |
| --- | --- |

(71)

Az érintett jogosult arra, hogy ne terjedjen ki rá olyan, kizárólag automatizált adatkezelésen alapuló – akár intézkedést is magában foglaló – döntés hatálya, amely a rá vonatkozó egyes személyes jellemzők kiértékelésén alapul, és amely rá nézve joghatással jár vagy őt hasonlóan jelentős mértékben érinti, mint például egy online hitelkérelem automatikus elutasítása vagy emberi beavatkozás nélkül folytatott online munkaerő-toborzás. Ilyen adatkezelésnek minősül a „profilalkotás” is, vagyis a természetes személyekre vonatkozó személyes jellemzők bármilyen automatizált személyes adatok kezelése keretében történő kiértékelése, különösen az érintett munkahelyi teljesítményére, gazdasági helyzetére, egészségi állapotára, személyes preferenciáira vagy érdeklődési körökre, megbízhatóságra vagy viselkedésre, tartózkodási helyére vagy mozgására vonatkozó jellemzők elemzésére és előrejelzésére, ha az az érintettre nézve joghatással jár vagy őt hasonlóan jelentős mértékben érinti. Megengedhető azonban az efféle adatkezelésen – ideértve profilalkotást is – alapuló döntéshozatal, ha azt az olyan uniós vagy tagállami jog kifejezetten engedélyezi, amelynek hatálya alá az adatkezelő tartozik, például a csalások és az adócsalás nyomon követése és megelőzése céljából, feltéve hogy erre az uniós intézmények vagy a tagállami felügyeleti hatóságok szabályaival, előírásaival és ajánlásaival összhangban kerül sor, vagy az adatkezelő által nyújtott szolgáltatás biztonságának és megbízhatóságának a biztosítása érdekében, vagy ha arra valamely, az érintett és egy adatkezelő közötti szerződés megkötése vagy teljesítése érdekében van szükség, vagy ha az érintett ahhoz kifejezett hozzájárulását adta. Az ilyen adatkezelés mindazonáltal csakis megfelelő garanciák mellett végezhető, amelybe beletartozik az érintett külön tájékoztatása és az ahhoz való joga, hogy emberi beavatkozást kérjen és kapjon, különösen hogy kifejtse álláspontját, hogy magyarázatot kapjon az ilyen értékelés alapján hozott döntésről és hogy megtámadja a döntést. Az ilyen intézkedés gyermekre nem vonatkozhat.

Az érintett szempontjából tekintve tisztességes és átlátható adatkezelés biztosítása érdekében – az adatkezelés konkrét körülményeinek figyelembevételével – az adatkezelő a profilalkotáshoz megfelelő matematikai és statisztikai eljárásokat alkalmaz, olyan technikai és szervezési intézkedéseket vezet be, amelyek biztosítják különösen az adatok pontatlanságát előidéző tényezők korrekcióját és a hibalehetőségek minimálisra csökkentését, továbbá a személyes adatok biztonságáról oly módon gondoskodik, amely az érintett érdekeit és jogait potenciálisan veszélyeztető tényezőket figyelembe veszi, és amely megakadályozza egyebek között az olyan hatások érvényesülését, amelyek a természetes személyek közötti hátrányos megkülönböztetést eredményeznek faji vagy etnikai származás, politikai vélemény, vallási vagy világnézeti meggyőződés, szakszervezeti tagság, genetikai vagy egészségi állapot, szexuális irányultság vagy nemi identitás alapján, illetve amelyek ilyen hatást kiváltó intézkedésekhez vezetnek. A személyes adatok különleges kategóriáit célzó automatizált döntéshozatal és profilalkotás csak bizonyos meghatározott feltételek mellett engedélyezhető.

| (72) | A profilalkotást ennek a rendeletnek a személyes adatok kezelésére vonatkozó rendelkezései szabályozzák, például az adatkezelés jogalapja és az adatkezelési elvek tekintetében. Az e rendelet által létrehozott Európai Adatvédelmi Testület (a továbbiakban: a Testület) számára lehetővé kell tenni, hogy erre vonatkozóan iránymutatást adjon ki. |
| --- | --- |

(72)

A profilalkotást ennek a rendeletnek a személyes adatok kezelésére vonatkozó rendelkezései szabályozzák, például az adatkezelés jogalapja és az adatkezelési elvek tekintetében. Az e rendelet által létrehozott Európai Adatvédelmi Testület (a továbbiakban: a Testület) számára lehetővé kell tenni, hogy erre vonatkozóan iránymutatást adjon ki.

| (73) | Az uniós és a tagállami jog olyan mértékig korlátozhat bizonyos elveket, a tájékoztatáshoz való jogot, a hozzáférési, helyesbítési és törlési jogot, az adathordozhatósághoz való jogot, a tiltakozáshoz való jogot, a profilalkotáson alapuló döntéseket és az adatvédelmi incidens érintettel történő közlését, valamint az adatkezelők bizonyos kapcsolódó kötelezettségeit, amilyen mértékig ez egy demokratikus társadalomban szükségesnek és arányosnak tekinthető a közbiztonság védelme érdekében – beleértve az emberi élet védelmét különösen a természeti vagy ember okozta katasztrófákkal szemben, valamint a bűncselekményeknek vagy a szabályozott szakmák etikai szabályai megsértésének a megelőzését, kivizsgálását és a megfelelő büntető- vagy fegyelmi eljárás lefolytatását, illetve a büntetőjogi szankciók végrehajtását és ezen belül többek között a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését is –, továbbá valamely egyéb uniós vagy tagállami közérdek jelentős céljai, így különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdekének védelme, általános közérdeket szolgáló nyilvántartások vezetése, archivált személyes adatoknak a volt totalitárius államrendszerek alatt tanúsított politikai magatartáshoz kapcsolódó konkrét információk szolgáltatása érdekében történő további kezelése, illetve az érintett vagy mások jogainak és szabadságainak a védelme érdekében, ideértve a szociális védelmet, a népegészségügyet és a humanitárius okokat is. E korlátozásoknak tiszteletben kell tartaniuk a Charta, valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény rendelkezéseit. |
| --- | --- |

(73)

Az uniós és a tagállami jog olyan mértékig korlátozhat bizonyos elveket, a tájékoztatáshoz való jogot, a hozzáférési, helyesbítési és törlési jogot, az adathordozhatósághoz való jogot, a tiltakozáshoz való jogot, a profilalkotáson alapuló döntéseket és az adatvédelmi incidens érintettel történő közlését, valamint az adatkezelők bizonyos kapcsolódó kötelezettségeit, amilyen mértékig ez egy demokratikus társadalomban szükségesnek és arányosnak tekinthető a közbiztonság védelme érdekében – beleértve az emberi élet védelmét különösen a természeti vagy ember okozta katasztrófákkal szemben, valamint a bűncselekményeknek vagy a szabályozott szakmák etikai szabályai megsértésének a megelőzését, kivizsgálását és a megfelelő büntető- vagy fegyelmi eljárás lefolytatását, illetve a büntetőjogi szankciók végrehajtását és ezen belül többek között a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését is –, továbbá valamely egyéb uniós vagy tagállami közérdek jelentős céljai, így különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdekének védelme, általános közérdeket szolgáló nyilvántartások vezetése, archivált személyes adatoknak a volt totalitárius államrendszerek alatt tanúsított politikai magatartáshoz kapcsolódó konkrét információk szolgáltatása érdekében történő további kezelése, illetve az érintett vagy mások jogainak és szabadságainak a védelme érdekében, ideértve a szociális védelmet, a népegészségügyet és a humanitárius okokat is. E korlátozásoknak tiszteletben kell tartaniuk a Charta, valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény rendelkezéseit.

| (74) | A személyes adatoknak az adatkezelő által vagy az adatkezelő nevében végzett bármilyen jellegű kezelése tekintetében az adatkezelő hatáskörét és felelősségét szabályozni kell. Az adatkezelőt kötelezni kell különösen arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek e rendeletnek megfelelnek, és az alkalmazott intézkedések hatékonysága is az e rendelet által előírt szintű. Ezeket az intézkedéseket az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni. |
| --- | --- |

(74)

A személyes adatoknak az adatkezelő által vagy az adatkezelő nevében végzett bármilyen jellegű kezelése tekintetében az adatkezelő hatáskörét és felelősségét szabályozni kell. Az adatkezelőt kötelezni kell különösen arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek e rendeletnek megfelelnek, és az alkalmazott intézkedések hatékonysága is az e rendelet által előírt szintű. Ezeket az intézkedéseket az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni.

| (75) | A természetes személyek jogait és szabadságait érintő – változó valószínűségű és súlyosságú – kockázatok származhatnak a személyes adatok kezeléséből, amelyek fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek, különösen, ha az adatkezelésből hátrányos megkülönböztetés, személyazonosság-lopás vagy személyazonossággal való visszaélés, pénzügyi veszteség, a jó hírnév sérelme, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülése, az álnevesítés engedély nélkül történő feloldása, vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrány fakadhat; vagy ha az érintettek nem gyakorolhatják jogaikat és szabadságaikat, vagy nem rendelkezhetnek saját személyes adataik felett; vagy ha olyan személyes adatok kezelése történik, amelyek faji vagy etnikai származásra, vagy politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utalnak, valamint ha a kezelt adatok genetikai adatok, egészségügyi adatok vagy a szexuális életre, büntetőjogi felelősség megállapítására, illetve bűncselekményekre, vagy ezekhez kapcsolódó biztonsági intézkedésekre vonatkoznak; vagy ha személyes jellemzők értékelésére, így különösen munkahelyi teljesítménnyel kapcsolatos jellemzők, gazdasági helyzet, egészségi állapot, személyes preferenciák vagy érdeklődési körök, megbízhatóság vagy viselkedés, tartózkodási hely vagy mozgás elemzésére vagy előrejelzésére kerül sor személyes profil létrehozása vagy felhasználása céljából; vagy ha kiszolgáltatott személyek – különösen, ha gyermekek – személyes adatainak a kezelésére kerül sor; vagy ha az adatkezelés nagy mennyiségű személyes adat alapján zajlik, és nagyszámú érintettre terjed ki. |
| --- | --- |

(75)

A természetes személyek jogait és szabadságait érintő – változó valószínűségű és súlyosságú – kockázatok származhatnak a személyes adatok kezeléséből, amelyek fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek, különösen, ha az adatkezelésből hátrányos megkülönböztetés, személyazonosság-lopás vagy személyazonossággal való visszaélés, pénzügyi veszteség, a jó hírnév sérelme, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülése, az álnevesítés engedély nélkül történő feloldása, vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrány fakadhat; vagy ha az érintettek nem gyakorolhatják jogaikat és szabadságaikat, vagy nem rendelkezhetnek saját személyes adataik felett; vagy ha olyan személyes adatok kezelése történik, amelyek faji vagy etnikai származásra, vagy politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utalnak, valamint ha a kezelt adatok genetikai adatok, egészségügyi adatok vagy a szexuális életre, büntetőjogi felelősség megállapítására, illetve bűncselekményekre, vagy ezekhez kapcsolódó biztonsági intézkedésekre vonatkoznak; vagy ha személyes jellemzők értékelésére, így különösen munkahelyi teljesítménnyel kapcsolatos jellemzők, gazdasági helyzet, egészségi állapot, személyes preferenciák vagy érdeklődési körök, megbízhatóság vagy viselkedés, tartózkodási hely vagy mozgás elemzésére vagy előrejelzésére kerül sor személyes profil létrehozása vagy felhasználása céljából; vagy ha kiszolgáltatott személyek – különösen, ha gyermekek – személyes adatainak a kezelésére kerül sor; vagy ha az adatkezelés nagy mennyiségű személyes adat alapján zajlik, és nagyszámú érintettre terjed ki.

| (76) | Az érintett jogait és szabadságait érintő kockázat valószínűségét és súlyosságát az adatkezelés jellegének, hatókörének, körülményeinek és céljainak függvényében kell meghatározni. A kockázatot olyan objektív értékelés alapján kell felmérni, amelynek során szükséges megállapítani, hogy az adatkezelési műveletek kockázattal, illetve nagy kockázattal járnak-e. |
| --- | --- |

(76)

Az érintett jogait és szabadságait érintő kockázat valószínűségét és súlyosságát az adatkezelés jellegének, hatókörének, körülményeinek és céljainak függvényében kell meghatározni. A kockázatot olyan objektív értékelés alapján kell felmérni, amelynek során szükséges megállapítani, hogy az adatkezelési műveletek kockázattal, illetve nagy kockázattal járnak-e.

| (77) | A megfelelő intézkedéseknek az adatkezelő vagy adatfeldolgozó általi végrehajtásához, valamint a megfelelés általuk való bizonyításához – különösen ami az adatkezeléssel kapcsolatos kockázat beazonosítását, valamint a kockázat forrásának, jellegének, valószínűségének és súlyosságának a felmérését illeti –, továbbá a kockázat mérséklésével kapcsolatos bevált gyakorlatoknak az azonosításához útmutatással szolgálhatnak különösen a jóváhagyott magatartási kódexek, a jóváhagyott tanúsítási eljárások, a Testület iránymutatásai vagy az adatvédelmi tisztviselő által nyújtott iránymutatások. A Testület emellett iránymutatásokat adhat ki az olyan adatkezelési műveletekre vonatkozóan is, amelyek valószínűsíthetően nem járnak magas kockázattal a természetes személyek jogaira és szabadságaira nézve, és megadhatják, hogy ilyen esetben mely intézkedések elegendők a szóban forgó kockázat kezeléséhez. |
| --- | --- |

(77)

A megfelelő intézkedéseknek az adatkezelő vagy adatfeldolgozó általi végrehajtásához, valamint a megfelelés általuk való bizonyításához – különösen ami az adatkezeléssel kapcsolatos kockázat beazonosítását, valamint a kockázat forrásának, jellegének, valószínűségének és súlyosságának a felmérését illeti –, továbbá a kockázat mérséklésével kapcsolatos bevált gyakorlatoknak az azonosításához útmutatással szolgálhatnak különösen a jóváhagyott magatartási kódexek, a jóváhagyott tanúsítási eljárások, a Testület iránymutatásai vagy az adatvédelmi tisztviselő által nyújtott iránymutatások. A Testület emellett iránymutatásokat adhat ki az olyan adatkezelési műveletekre vonatkozóan is, amelyek valószínűsíthetően nem járnak magas kockázattal a természetes személyek jogaira és szabadságaira nézve, és megadhatják, hogy ilyen esetben mely intézkedések elegendők a szóban forgó kockázat kezeléséhez.

| (78) | A természetes személyeket személyes adataik kezelése tekintetében megillető jogok és szabadságok védelme megköveteli az e rendelet követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát. Ahhoz, hogy az adatkezelő igazolni tudja az e rendeletnek való megfelelést, olyan belső szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek teljesítik különösen a beépített és az alapértelmezett adatvédelem elveit. Az említett intézkedések magukban foglalhatják a személyes adatok kezelésének minimálisra csökkentését, a személyes adatok mihamarabbi álnevesítését, a személyes adatok funkcióinak és kezelésének átláthatóságát, valamint azt, hogy az érintett nyomon követhesse az adatkezelést, az adatkezelő pedig biztonsági elemeket hozhasson létre és továbbfejleszthesse azokat. Az olyan alkalmazások, szolgáltatások és termékek kifejlesztésekor, tervezésekor, kiválasztásakor és felhasználásakor, amelyek személyes adatok kezelésén alapulnak vagy rendeltetésük teljesítéséhez személyes adatokat kezelnek, a termékek, szolgáltatások és alkalmazások előállítóit arra kell ösztönözni, hogy e termékek, szolgáltatások és alkalmazások kifejlesztésekor és tervezésekor szem előtt tartsák a személyes adatok védeleméhez való jogot, és a tudomány és technológia állását kellően figyelembe véve gondoskodjanak arról, hogy az adatkezelők és az adatfeldolgozók adatvédelmi kötelezettségeiknek eleget tegyenek. A beépített és az alapértelmezett adatvédelem elveit a közbeszerzések során is figyelembe kell venni. |
| --- | --- |

(78)

A természetes személyeket személyes adataik kezelése tekintetében megillető jogok és szabadságok védelme megköveteli az e rendelet követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát. Ahhoz, hogy az adatkezelő igazolni tudja az e rendeletnek való megfelelést, olyan belső szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek teljesítik különösen a beépített és az alapértelmezett adatvédelem elveit. Az említett intézkedések magukban foglalhatják a személyes adatok kezelésének minimálisra csökkentését, a személyes adatok mihamarabbi álnevesítését, a személyes adatok funkcióinak és kezelésének átláthatóságát, valamint azt, hogy az érintett nyomon követhesse az adatkezelést, az adatkezelő pedig biztonsági elemeket hozhasson létre és továbbfejleszthesse azokat. Az olyan alkalmazások, szolgáltatások és termékek kifejlesztésekor, tervezésekor, kiválasztásakor és felhasználásakor, amelyek személyes adatok kezelésén alapulnak vagy rendeltetésük teljesítéséhez személyes adatokat kezelnek, a termékek, szolgáltatások és alkalmazások előállítóit arra kell ösztönözni, hogy e termékek, szolgáltatások és alkalmazások kifejlesztésekor és tervezésekor szem előtt tartsák a személyes adatok védeleméhez való jogot, és a tudomány és technológia állását kellően figyelembe véve gondoskodjanak arról, hogy az adatkezelők és az adatfeldolgozók adatvédelmi kötelezettségeiknek eleget tegyenek. A beépített és az alapértelmezett adatvédelem elveit a közbeszerzések során is figyelembe kell venni.

| (79) | Az érintettek jogainak és szabadságainak védelme csakúgy, mint az adatkezelők és az adatfeldolgozók hatásköre és felelőssége – a felügyeleti hatóságok általi ellenőrzéssel és azok intézkedéseivel összefüggésben is – megköveteli az e rendelet szerinti hatáskörök egyértelmű felosztását, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel közösen határozza meg az adatkezelés céljait és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatkezelési műveletet. |
| --- | --- |

(79)

Az érintettek jogainak és szabadságainak védelme csakúgy, mint az adatkezelők és az adatfeldolgozók hatásköre és felelőssége – a felügyeleti hatóságok általi ellenőrzéssel és azok intézkedéseivel összefüggésben is – megköveteli az e rendelet szerinti hatáskörök egyértelmű felosztását, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel közösen határozza meg az adatkezelés céljait és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatkezelési műveletet.

| (80) | Ha az Unióban tartózkodó érintettek személyes adatait az Unióban tevékenységi hellyel nem rendelkező olyan adatkezelő vagy adatfeldolgozó kezeli, amelynek az adatkezelési tevékenysége termékeknek vagy szolgáltatásoknak az ilyen érintettek számára történő Unión belüli kínálásához – függetlenül attól, hogy az érintetteknek fizetniük kell-e azokért – vagy az ilyen érintettek Unión belüli magatartásának a megfigyeléséhez kapcsolódik, az adatkezelő vagy az adatfeldolgozó képviselőt jelöl ki, kivéve, ha az általa végzett adatkezelés alkalmi jellegű, nem terjed ki a személyes adatok különleges kategóriáinak, illetve a büntetőjogi felelősség megállapításával és bűncselekményekkel kapcsolatos személyes adatoknak nagy számban történő kezelésére, továbbá a jellegét, hatókörét, körülményeit és céljait tekintve valószínűsíthetően nem jelent kockázatot az érintettek jogaira és szabadságaira nézve, illetve ha az adatkezelő közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv. A képviselő az adatkezelő vagy az adatfeldolgozó nevében jár el, és e minőségében bármelyik felügyeleti hatóság megkeresheti. Az adatkezelő vagy az adatfeldolgozó írásbeli megbízás útján kifejezetten kijelöli a képviselőt arra, hogy nevében az e rendelet értelmében fennálló kötelezettségei tekintetében eljárjon. A képviselő kijelölése nem érinti az adatkezelőre, illetve adatfeldolgozóra e rendelet értelmében háruló hatásköröket és felelősséget. A képviselő feladatait az adatkezelőtől vagy az adatfeldolgozótól kapott – és ideértve az illetékes felügyeleti hatóságokkal az e rendeletnek való megfelelés biztosítása érdekében tett bármely lépés tekintetében való együttműködést is előíró – megbízással összhangban látja el. Meg nem felelés esetén, a kijelölt képviselővel szemben az adatkezelő vagy az adatfeldolgozó kikényszerítési eljárásokat indíthat. |
| --- | --- |

(80)

Ha az Unióban tartózkodó érintettek személyes adatait az Unióban tevékenységi hellyel nem rendelkező olyan adatkezelő vagy adatfeldolgozó kezeli, amelynek az adatkezelési tevékenysége termékeknek vagy szolgáltatásoknak az ilyen érintettek számára történő Unión belüli kínálásához – függetlenül attól, hogy az érintetteknek fizetniük kell-e azokért – vagy az ilyen érintettek Unión belüli magatartásának a megfigyeléséhez kapcsolódik, az adatkezelő vagy az adatfeldolgozó képviselőt jelöl ki, kivéve, ha az általa végzett adatkezelés alkalmi jellegű, nem terjed ki a személyes adatok különleges kategóriáinak, illetve a büntetőjogi felelősség megállapításával és bűncselekményekkel kapcsolatos személyes adatoknak nagy számban történő kezelésére, továbbá a jellegét, hatókörét, körülményeit és céljait tekintve valószínűsíthetően nem jelent kockázatot az érintettek jogaira és szabadságaira nézve, illetve ha az adatkezelő közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv. A képviselő az adatkezelő vagy az adatfeldolgozó nevében jár el, és e minőségében bármelyik felügyeleti hatóság megkeresheti. Az adatkezelő vagy az adatfeldolgozó írásbeli megbízás útján kifejezetten kijelöli a képviselőt arra, hogy nevében az e rendelet értelmében fennálló kötelezettségei tekintetében eljárjon. A képviselő kijelölése nem érinti az adatkezelőre, illetve adatfeldolgozóra e rendelet értelmében háruló hatásköröket és felelősséget. A képviselő feladatait az adatkezelőtől vagy az adatfeldolgozótól kapott – és ideértve az illetékes felügyeleti hatóságokkal az e rendeletnek való megfelelés biztosítása érdekében tett bármely lépés tekintetében való együttműködést is előíró – megbízással összhangban látja el. Meg nem felelés esetén, a kijelölt képviselővel szemben az adatkezelő vagy az adatfeldolgozó kikényszerítési eljárásokat indíthat.

| (81) | Annak biztosítása érdekében, hogy az e rendeletben az adatfeldolgozó által az adatkezelő nevében elvégzendő adatkezelésre vonatkozóan előírt követelmények teljesüljenek, ha az adatkezelő adatfeldolgozót bíz meg az adatkezelési tevékenységek elvégzésével, csakis olyan adatfeldolgozókat vehet igénybe, amelyek megfelelő garanciákat nyújtanak – különösen a szakértelem, a megbízhatóság és az erőforrások tekintetében – arra vonatkozóan, hogy az e rendelet követelményeinek teljesülését biztosító technikai és szervezési intézkedéseket végrehajtják, ideértve az adatkezelés biztonságát is. Az adatkezelő kötelezettségei teljesítésének bizonyítására felhasználható, ha az adatfeldolgozó csatlakozik valamelyik jóváhagyott magatartási kódexhez vagy jóváhagyott tanúsítási mechanizmushoz. Az adatkezelés adatfeldolgozó általi elvégzését uniós vagy tagállami jog alapján létrejött szerződés vagy egyéb jogi aktus szabályozza, amely köti adatfeldolgozót az adatkezelővel szemben, meghatározza az adatkezelés tárgyát és időtartamát, az adatkezelés jellegét és céljait, a személyes adatok típusát és az érintettek kategóriáit, figyelembe véve az adatfeldolgozóra az elvégzendő adatkezelés kapcsán háruló konkrét feladatokat és felelősségeket, valamint az érintettek jogait és szabadságait érintő kockázatot is. Az adatkezelő és az adatfeldolgozó dönthet egyedi szerződés vagy általános szerződési feltételek alkalmazása mellett, mely utóbbiakat vagy közvetlenül a Bizottság, vagy az egységességi mechanizmus alapján valamely felügyeleti hatóság, majd pedig a Bizottság fogad el. Az adatkezelésnek az adatkezelő nevében való elvégzését követően az adatfeldolgozó az adatkezelő választása szerint visszaszolgáltatja vagy törli a személyes adatokat, kivéve, ha az adatfeldolgozóra alkalmazandó uniós vagy tagállami jog előírja azok tárolását. |
| --- | --- |

(81)

Annak biztosítása érdekében, hogy az e rendeletben az adatfeldolgozó által az adatkezelő nevében elvégzendő adatkezelésre vonatkozóan előírt követelmények teljesüljenek, ha az adatkezelő adatfeldolgozót bíz meg az adatkezelési tevékenységek elvégzésével, csakis olyan adatfeldolgozókat vehet igénybe, amelyek megfelelő garanciákat nyújtanak – különösen a szakértelem, a megbízhatóság és az erőforrások tekintetében – arra vonatkozóan, hogy az e rendelet követelményeinek teljesülését biztosító technikai és szervezési intézkedéseket végrehajtják, ideértve az adatkezelés biztonságát is. Az adatkezelő kötelezettségei teljesítésének bizonyítására felhasználható, ha az adatfeldolgozó csatlakozik valamelyik jóváhagyott magatartási kódexhez vagy jóváhagyott tanúsítási mechanizmushoz. Az adatkezelés adatfeldolgozó általi elvégzését uniós vagy tagállami jog alapján létrejött szerződés vagy egyéb jogi aktus szabályozza, amely köti adatfeldolgozót az adatkezelővel szemben, meghatározza az adatkezelés tárgyát és időtartamát, az adatkezelés jellegét és céljait, a személyes adatok típusát és az érintettek kategóriáit, figyelembe véve az adatfeldolgozóra az elvégzendő adatkezelés kapcsán háruló konkrét feladatokat és felelősségeket, valamint az érintettek jogait és szabadságait érintő kockázatot is. Az adatkezelő és az adatfeldolgozó dönthet egyedi szerződés vagy általános szerződési feltételek alkalmazása mellett, mely utóbbiakat vagy közvetlenül a Bizottság, vagy az egységességi mechanizmus alapján valamely felügyeleti hatóság, majd pedig a Bizottság fogad el. Az adatkezelésnek az adatkezelő nevében való elvégzését követően az adatfeldolgozó az adatkezelő választása szerint visszaszolgáltatja vagy törli a személyes adatokat, kivéve, ha az adatfeldolgozóra alkalmazandó uniós vagy tagállami jog előírja azok tárolását.

| (82) | Az adatkezelő vagy az adatfeldolgozó az e rendeletnek való megfelelés bizonyítása érdekében nyilvántartást vezet a hatásköre alapján végzett adatkezelési tevékenységekről. Minden adatkezelő és adatfeldolgozó köteles a felügyeleti hatósággal együttműködni és ezeket a nyilvántartásokat kérésre hozzáférhetővé tenni az érintett adatkezelési műveletek ellenőrzése érdekében. |
| --- | --- |

(82)

Az adatkezelő vagy az adatfeldolgozó az e rendeletnek való megfelelés bizonyítása érdekében nyilvántartást vezet a hatásköre alapján végzett adatkezelési tevékenységekről. Minden adatkezelő és adatfeldolgozó köteles a felügyeleti hatósággal együttműködni és ezeket a nyilvántartásokat kérésre hozzáférhetővé tenni az érintett adatkezelési műveletek ellenőrzése érdekében.

| (83) | A biztonság fenntartása és az e rendeletet sértő adatkezelés megelőzése érdekében az adatkezelő vagy az adatfeldolgozó értékeli az adatkezelés természetéből fakadó kockázatokat, és az e kockázatok csökkentését szolgáló intézkedéseket, például titkosítást alkalmaz. Ezek az intézkedések biztosítják a megfelelő szintű biztonságot – ideértve a bizalmas kezelést is –, figyelembe véve a tudomány és technológia állását, valamint a végrehajtás kockázatokkal és a védelmet igénylő személyes adatok jellegével összefüggő költségeit. Az adatbiztonsági kockázat felmérése során a személyes adatok kezelése jelentette olyan kockázatokat – mint például a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, megváltoztatása, jogosulatlan közlése vagy az azokhoz való jogosulatlan hozzáférés –mérlegelni kell, amelyek fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek. |
| --- | --- |

(83)

A biztonság fenntartása és az e rendeletet sértő adatkezelés megelőzése érdekében az adatkezelő vagy az adatfeldolgozó értékeli az adatkezelés természetéből fakadó kockázatokat, és az e kockázatok csökkentését szolgáló intézkedéseket, például titkosítást alkalmaz. Ezek az intézkedések biztosítják a megfelelő szintű biztonságot – ideértve a bizalmas kezelést is –, figyelembe véve a tudomány és technológia állását, valamint a végrehajtás kockázatokkal és a védelmet igénylő személyes adatok jellegével összefüggő költségeit. Az adatbiztonsági kockázat felmérése során a személyes adatok kezelése jelentette olyan kockázatokat – mint például a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, megváltoztatása, jogosulatlan közlése vagy az azokhoz való jogosulatlan hozzáférés –mérlegelni kell, amelyek fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek.

| (84) | Az e rendeletnek való megfelelés olyan esetek érdekében történő előmozdítása érdekében, amikor valószínűsíthető, hogy az adatkezelési műveletek magas kockázattal járnának a természetes személyek jogaira és szabadságaira nézve, az e kockázat forrását, jellegét, egyediségét és súlyosságát felmérő adatvédelmi hatásvizsgálat elvégzéséért az adatkezelő felel. A hatásvizsgálat megállapításait figyelembe kell venni annak meghatározásakor, hogy mely intézkedések a megfelelőek annak bizonyítására, hogy a személyes adatok kezelése megfelel e rendeletnek. Ha az adatvédelmi hatásvizsgálat szerint az adatkezelési műveletek olyan magas kockázattal járnak, amelyet az adatkezelő nem képes a rendelkezésre álló technológia és a végrehajtási költségek szempontjából is megfelelő intézkedésekkel mérsékelni, az adatkezelést megelőzően a felügyeleti hatósággal konzultálni kell. |
| --- | --- |

(84)

Az e rendeletnek való megfelelés olyan esetek érdekében történő előmozdítása érdekében, amikor valószínűsíthető, hogy az adatkezelési műveletek magas kockázattal járnának a természetes személyek jogaira és szabadságaira nézve, az e kockázat forrását, jellegét, egyediségét és súlyosságát felmérő adatvédelmi hatásvizsgálat elvégzéséért az adatkezelő felel. A hatásvizsgálat megállapításait figyelembe kell venni annak meghatározásakor, hogy mely intézkedések a megfelelőek annak bizonyítására, hogy a személyes adatok kezelése megfelel e rendeletnek. Ha az adatvédelmi hatásvizsgálat szerint az adatkezelési műveletek olyan magas kockázattal járnak, amelyet az adatkezelő nem képes a rendelkezésre álló technológia és a végrehajtási költségek szempontjából is megfelelő intézkedésekkel mérsékelni, az adatkezelést megelőzően a felügyeleti hatósággal konzultálni kell.

| (85) | Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyeknek, többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérelmét, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve a szóban forgó természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt. Következésképpen, amint az adatkezelő tudomására jut az adatvédelmi incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenteni köteles az illetékes felügyeleti hatóságnál, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés 72 órán belül nem tehető meg, abban meg kell jelölni a késedelem okát, az előírt információkat pedig – további indokolatlan késedelem nélkül – részletekben is közölni lehet. |
| --- | --- |

(85)

Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyeknek, többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérelmét, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve a szóban forgó természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt. Következésképpen, amint az adatkezelő tudomására jut az adatvédelmi incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenteni köteles az illetékes felügyeleti hatóságnál, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés 72 órán belül nem tehető meg, abban meg kell jelölni a késedelem okát, az előírt információkat pedig – további indokolatlan késedelem nélkül – részletekben is közölni lehet.

| (86) | Az érintettet az adatkezelő indokolatlan késedelem nélkül tájékoztatja, ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, annak érdekében, hogy megtehesse a szükséges óvintézkedéseket. Az tájékoztatásnak tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, valamint az érintett a természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó javaslatokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehető leghamarabb gondoskodni kell, szorosan együttműködve a felügyeleti hatósággal, és betartva az általa vagy más érintett hatóságok például bűnüldöző hatóságok által adott útmutatást. Például az érintettek sürgős tájékoztatása a kár közvetlen veszélyének mérsékléséhez szükséges, azonban annak megelőzése több időt igényelhet, hogy a folyamatos vagy azonos jellegű adatvédelmi incidens esetében megfelelő intézkedéseket kell végrehajtani. |
| --- | --- |

(86)

Az érintettet az adatkezelő indokolatlan késedelem nélkül tájékoztatja, ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, annak érdekében, hogy megtehesse a szükséges óvintézkedéseket. Az tájékoztatásnak tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, valamint az érintett a természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó javaslatokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehető leghamarabb gondoskodni kell, szorosan együttműködve a felügyeleti hatósággal, és betartva az általa vagy más érintett hatóságok például bűnüldöző hatóságok által adott útmutatást. Például az érintettek sürgős tájékoztatása a kár közvetlen veszélyének mérsékléséhez szükséges, azonban annak megelőzése több időt igényelhet, hogy a folyamatos vagy azonos jellegű adatvédelmi incidens esetében megfelelő intézkedéseket kell végrehajtani.

| (87) | Meg kell bizonyosodni arról, hogy az összes megfelelő technológiai védelmi és szervezési intézkedés végrehajtásra került-e, egyrészt az adatvédelmi incidens haladéktalan megállapítása, másrészt a felügyeleti hatóságnak történő bejelentés és az érintett sürgős értesítése érdekében. Azt, hogy az értesítésre indokolatlan késedelem nélkül került-e sor, különösen az adatvédelmi incidens jellegére és súlyosságára, valamint annak az érintettre gyakorolt következményeire, illetve hátrányos hatásaira figyelemmel kell megállapítani. A felügyeleti hatóságnak történt bejelentést az e rendeletben meghatározott feladataival és hatásköreivel összhangban történő beavatkozását eredményezheti. |
| --- | --- |

(87)

Meg kell bizonyosodni arról, hogy az összes megfelelő technológiai védelmi és szervezési intézkedés végrehajtásra került-e, egyrészt az adatvédelmi incidens haladéktalan megállapítása, másrészt a felügyeleti hatóságnak történő bejelentés és az érintett sürgős értesítése érdekében. Azt, hogy az értesítésre indokolatlan késedelem nélkül került-e sor, különösen az adatvédelmi incidens jellegére és súlyosságára, valamint annak az érintettre gyakorolt következményeire, illetve hátrányos hatásaira figyelemmel kell megállapítani. A felügyeleti hatóságnak történt bejelentést az e rendeletben meghatározott feladataival és hatásköreivel összhangban történő beavatkozását eredményezheti.

| (88) | Az adatvédelmi incidensről szóló értesítés formájára és az arra alkalmazandó eljárásokra vonatkozó részletes szabályok megállapításakor az adatvédelmi incidens körülményeire megfelelő figyelmet kell fordítani, beleértve azt is, hogy a személyes adatokat olyan megfelelő technikai védelmi intézkedésekkel védték-e, amelyek hatékonyan korlátozzák a személyazonossággal való visszaélés vagy a visszaélés más formái előfordulásának a valószínűségét. E szabályoknak és eljárásoknak figyelembe kell venniük továbbá a bűnüldöző hatóságok jogos érdekeit olyan esetekben, amikor az idő előtti közlés szükségtelenül veszélyeztethetné az adatvédelmi incidens körülményeinek kivizsgálását. |
| --- | --- |

(88)

Az adatvédelmi incidensről szóló értesítés formájára és az arra alkalmazandó eljárásokra vonatkozó részletes szabályok megállapításakor az adatvédelmi incidens körülményeire megfelelő figyelmet kell fordítani, beleértve azt is, hogy a személyes adatokat olyan megfelelő technikai védelmi intézkedésekkel védték-e, amelyek hatékonyan korlátozzák a személyazonossággal való visszaélés vagy a visszaélés más formái előfordulásának a valószínűségét. E szabályoknak és eljárásoknak figyelembe kell venniük továbbá a bűnüldöző hatóságok jogos érdekeit olyan esetekben, amikor az idő előtti közlés szükségtelenül veszélyeztethetné az adatvédelmi incidens körülményeinek kivizsgálását.

| (89) | A 95/46/EK irányelv általános jelleggel előírta, hogy a személyes adatok kezeléséről a felügyeleti hatóságot értesíteni kell. Ez a kötelezettség igazgatási és pénzügyi terhekkel jár, azonban nem minden esetben járul hozzá a személyes adatok védelmének javításához. Ezért ezeket a megkülönböztetés nélküli általános jellegű értesítési kötelezettségeket meg kell szüntetni és olyan hatékony eljárásokkal és mechanizmusokkal kell felváltani, amelyek az adatkezelési műveletek azon típusaira összpontosítanak, amelyek a jellegüknél, hatókörüknél, körülményénél és céljaiknál fogva a természetes személyek jogaira és szabadságaira nézve valószínűsíthetően magas kockázattal járnak. Az adatkezelési műveletek említett típusai közé tartozhatnak különösen azok, amelyek új technológiákat alkalmaznak, illetve amelyek új fajtájúak, és amelyek esetében az adatkezelő még nem végezte el az adatvédelmi hatásvizsgálatot, vagy amelyek esetében az adatvédelmi hatásvizsgálat az első adatkezelés óta eltelt időre tekintettel vált szükségessé. |
| --- | --- |

(89)

A 95/46/EK irányelv általános jelleggel előírta, hogy a személyes adatok kezeléséről a felügyeleti hatóságot értesíteni kell. Ez a kötelezettség igazgatási és pénzügyi terhekkel jár, azonban nem minden esetben járul hozzá a személyes adatok védelmének javításához. Ezért ezeket a megkülönböztetés nélküli általános jellegű értesítési kötelezettségeket meg kell szüntetni és olyan hatékony eljárásokkal és mechanizmusokkal kell felváltani, amelyek az adatkezelési műveletek azon típusaira összpontosítanak, amelyek a jellegüknél, hatókörüknél, körülményénél és céljaiknál fogva a természetes személyek jogaira és szabadságaira nézve valószínűsíthetően magas kockázattal járnak. Az adatkezelési műveletek említett típusai közé tartozhatnak különösen azok, amelyek új technológiákat alkalmaznak, illetve amelyek új fajtájúak, és amelyek esetében az adatkezelő még nem végezte el az adatvédelmi hatásvizsgálatot, vagy amelyek esetében az adatvédelmi hatásvizsgálat az első adatkezelés óta eltelt időre tekintettel vált szükségessé.

| (90) | A természetes személyek jogaira és szabadságaira nézve magas kockázattal járó ilyen esetekben az adatkezelő – annak érdekében, hogy az adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint a kockázat forrásait figyelembe véve felmérje a magas kockázat különös valószínűségét és súlyosságát – az adatkezelés előtt adatvédelmi hatásvizsgálatot végez. Ez a hatásvizsgálat magában foglalja különösen az említett kockázat mérséklését, a személyes adatok védelmét, valamint az e rendeletnek való megfelelés bizonyítását célzó tervezett intézkedéseket, garanciákat és mechanizmusokat. |
| --- | --- |

(90)

A természetes személyek jogaira és szabadságaira nézve magas kockázattal járó ilyen esetekben az adatkezelő – annak érdekében, hogy az adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint a kockázat forrásait figyelembe véve felmérje a magas kockázat különös valószínűségét és súlyosságát – az adatkezelés előtt adatvédelmi hatásvizsgálatot végez. Ez a hatásvizsgálat magában foglalja különösen az említett kockázat mérséklését, a személyes adatok védelmét, valamint az e rendeletnek való megfelelés bizonyítását célzó tervezett intézkedéseket, garanciákat és mechanizmusokat.

| (91) | Ez különösen vonatkozik egyrészt azokra a nagymértékű adatkezelési műveletekre, amelyek jelentős mennyiségű személyes adat regionális, nemzeti vagy szupranacionális szintű kezelését célozzák, és amelyek az érintettek jelentős számára hatással lehet, és amelyek például az adatok érzékenysége folytán valószínűsíthetően magas kockázattal járnak, másrészt azokra az adatkezelési műveletekre, amelyeknél nagy arányban a technológia elismert állásának megfelelő új technológiát alkalmaznak, valamint olyan más adatkezelési műveletekre is, amelyek magas kockázattal járnak az érintettek jogaira és szabadságaira nézve, különösen, ha az említett műveletek megnehezítik az érintettek számára, hogy a jogaikat gyakorolják. Adatvédelmi hatásvizsgálatot kell végezni továbbá, amikor az a személyes adatkezelés célja, hogy konkrét természetes személyekkel kapcsolatban döntést lehessen hozni azt követően, hogy elvégzik a természetes személyek személyes jellemzőinek szisztematikus és kiterjedt értékelését az említett adatokon alapuló profilalkotás alapján, illetve a személyes adatok különleges kategóriáira, a biometrikus adatokra vagy a büntetőjogi felelősség megállapítására és a bűncselekményekre vagy a kapcsolódó biztonsági intézkedésekre vonatkozó adatok kezelését követően. Az adatvédelmi hatásvizsgálatok elvégzése a nyilvános helyek nagymértékű megfigyelése esetében szintén követelmény, különösen, ha ezt elektronikus optikai eszközök alkalmazásával hajtják végre, valamint az olyan egyéb műveletek esetében is, amelyeknél az illetékes felügyeleti hatóság úgy ítéli meg, hogy az adatkezelés valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve, különösen mivel megakadályozza, hogy az érintettek a jogaikat gyakorolják vagy szolgáltatásokat vegyenek igénybe vagy szerződést érvényesítsenek, vagy mivel az említett műveletekre szisztematikusan és nagy számban kerül sor. A személyes adatok kezelése nem tekinthető nagymértékűnek, ha az adatkezelés egy adott szakorvos, egészségügyi szakember betegei vagy egy adott ügyvéd ügyfelei személyes adataira vonatkozik. Ilyen esetekben az adatvédelmi hatásvizsgálatot nem kell kötelezővé tenni. |
| --- | --- |

(91)

Ez különösen vonatkozik egyrészt azokra a nagymértékű adatkezelési műveletekre, amelyek jelentős mennyiségű személyes adat regionális, nemzeti vagy szupranacionális szintű kezelését célozzák, és amelyek az érintettek jelentős számára hatással lehet, és amelyek például az adatok érzékenysége folytán valószínűsíthetően magas kockázattal járnak, másrészt azokra az adatkezelési műveletekre, amelyeknél nagy arányban a technológia elismert állásának megfelelő új technológiát alkalmaznak, valamint olyan más adatkezelési műveletekre is, amelyek magas kockázattal járnak az érintettek jogaira és szabadságaira nézve, különösen, ha az említett műveletek megnehezítik az érintettek számára, hogy a jogaikat gyakorolják. Adatvédelmi hatásvizsgálatot kell végezni továbbá, amikor az a személyes adatkezelés célja, hogy konkrét természetes személyekkel kapcsolatban döntést lehessen hozni azt követően, hogy elvégzik a természetes személyek személyes jellemzőinek szisztematikus és kiterjedt értékelését az említett adatokon alapuló profilalkotás alapján, illetve a személyes adatok különleges kategóriáira, a biometrikus adatokra vagy a büntetőjogi felelősség megállapítására és a bűncselekményekre vagy a kapcsolódó biztonsági intézkedésekre vonatkozó adatok kezelését követően. Az adatvédelmi hatásvizsgálatok elvégzése a nyilvános helyek nagymértékű megfigyelése esetében szintén követelmény, különösen, ha ezt elektronikus optikai eszközök alkalmazásával hajtják végre, valamint az olyan egyéb műveletek esetében is, amelyeknél az illetékes felügyeleti hatóság úgy ítéli meg, hogy az adatkezelés valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve, különösen mivel megakadályozza, hogy az érintettek a jogaikat gyakorolják vagy szolgáltatásokat vegyenek igénybe vagy szerződést érvényesítsenek, vagy mivel az említett műveletekre szisztematikusan és nagy számban kerül sor. A személyes adatok kezelése nem tekinthető nagymértékűnek, ha az adatkezelés egy adott szakorvos, egészségügyi szakember betegei vagy egy adott ügyvéd ügyfelei személyes adataira vonatkozik. Ilyen esetekben az adatvédelmi hatásvizsgálatot nem kell kötelezővé tenni.

| (92) | Bizonyos körülmények között észszerűnek és gazdaságosnak bizonyulhat az adatvédelmi hatásvizsgálat nem egyetlen projekt tekintetében történő lefolytatása, például ha közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek közös alkalmazást vagy adatkezelési felületet kívánnak létrehozni, vagy ha több adatkezelő közös alkalmazást vagy adatkezelési környezetet kíván bevezetni valamely ágazat vagy szegmens, vagy valamely széles körben végzett horizontális tevékenység tekintetében. |
| --- | --- |

(92)

Bizonyos körülmények között észszerűnek és gazdaságosnak bizonyulhat az adatvédelmi hatásvizsgálat nem egyetlen projekt tekintetében történő lefolytatása, például ha közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek közös alkalmazást vagy adatkezelési felületet kívánnak létrehozni, vagy ha több adatkezelő közös alkalmazást vagy adatkezelési környezetet kíván bevezetni valamely ágazat vagy szegmens, vagy valamely széles körben végzett horizontális tevékenység tekintetében.

| (93) | Az olyan tagállami jog elfogadásával összefüggésben, amelyen a közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv feladatainak teljesítésén alapul, és amely a szóban forgó specifikus adatkezelési műveletet vagy műveleteket szabályozza, a tagállamok szükségesnek ítélhetik azt, hogy az adott adatkezelési tevékenységek megkezdése előtt ilyen hatásvizsgálatot folytassanak le. |
| --- | --- |

(93)

Az olyan tagállami jog elfogadásával összefüggésben, amelyen a közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv feladatainak teljesítésén alapul, és amely a szóban forgó specifikus adatkezelési műveletet vagy műveleteket szabályozza, a tagállamok szükségesnek ítélhetik azt, hogy az adott adatkezelési tevékenységek megkezdése előtt ilyen hatásvizsgálatot folytassanak le.

| (94) | Ha az adatvédelmi hatásvizsgálat azt jelzi, hogy a kockázat mérséklését célzó garanciák, biztonsági intézkedések és mechanizmusok hiányában az adatkezelés magas kockázattal járna a természetes személyek jogaira és szabadságaira nézve, és az adatkezelő véleménye alapján a kockázat nem mérsékelhető a rendelkezésre álló technológiák és a végrehajtási költségek szempontjából észszerű módon, akkor az adatkezelési tevékenység megkezdése előtt a felügyeleti hatósággal konzultálni kell. Valószínűsíthetően ilyen magas kockázattal járnak a személyes adatok kezelésének bizonyos típusai és az adatkezelés bizonyos mértéke és gyakorisága, amelyek emellett kárt is okozhatnak, illetve hátrányosan érinthetik a természetes személy jogait és szabadságait. A felügyeleti hatóság a konzultáció iránti megkeresésre meghatározott határidőn belül választ ad. Ha azonban, a felügyeleti hatóság az említett határidőn belül nem reagál, nem érinti a felügyeleti hatóságnak az e rendeletben megállapított feladataival és hatásköreivel összhangban álló beavatkozási jogkörét, az adatkezelési műveletek megtiltására vonatkozó hatáskörét is beleértve. E konzultációs eljárás során a szóban forgó adatkezelés tekintetében végzett adatvédelmi hatásvizsgálat eredményét, és különösen a természetes személyek jogait és szabadságait veszélyeztető kockázat mérséklésére szolgáló intézkedések tervezetét be lehet nyújtani a felügyeleti hatóságnak. |
| --- | --- |

(94)

Ha az adatvédelmi hatásvizsgálat azt jelzi, hogy a kockázat mérséklését célzó garanciák, biztonsági intézkedések és mechanizmusok hiányában az adatkezelés magas kockázattal járna a természetes személyek jogaira és szabadságaira nézve, és az adatkezelő véleménye alapján a kockázat nem mérsékelhető a rendelkezésre álló technológiák és a végrehajtási költségek szempontjából észszerű módon, akkor az adatkezelési tevékenység megkezdése előtt a felügyeleti hatósággal konzultálni kell. Valószínűsíthetően ilyen magas kockázattal járnak a személyes adatok kezelésének bizonyos típusai és az adatkezelés bizonyos mértéke és gyakorisága, amelyek emellett kárt is okozhatnak, illetve hátrányosan érinthetik a természetes személy jogait és szabadságait. A felügyeleti hatóság a konzultáció iránti megkeresésre meghatározott határidőn belül választ ad. Ha azonban, a felügyeleti hatóság az említett határidőn belül nem reagál, nem érinti a felügyeleti hatóságnak az e rendeletben megállapított feladataival és hatásköreivel összhangban álló beavatkozási jogkörét, az adatkezelési műveletek megtiltására vonatkozó hatáskörét is beleértve. E konzultációs eljárás során a szóban forgó adatkezelés tekintetében végzett adatvédelmi hatásvizsgálat eredményét, és különösen a természetes személyek jogait és szabadságait veszélyeztető kockázat mérséklésére szolgáló intézkedések tervezetét be lehet nyújtani a felügyeleti hatóságnak.

| (95) | Az adatfeldolgozó – szükség esetén és kérésre – segíti az adatkezelőt abban, hogy teljesüljenek az adatvédelmi hatásvizsgálatok elvégzéséből és a felügyeleti hatósággal folytatott előzetes konzultációból eredő kötelezettségek. |
| --- | --- |

(95)

Az adatfeldolgozó – szükség esetén és kérésre – segíti az adatkezelőt abban, hogy teljesüljenek az adatvédelmi hatásvizsgálatok elvégzéséből és a felügyeleti hatósággal folytatott előzetes konzultációból eredő kötelezettségek.

| (96) | A személyes adatok kezelésével összefüggő jogalkotási vagy szabályozási intézkedések előkészítése során a felügyeleti hatósággal konzultálni kell, így biztosítandó, hogy a tervezett adatkezelés megfeleljen e rendeletnek, különösen annak érdekében, hogy az érintettek számára fennálló kockázat mérséklődjön. |
| --- | --- |

(96)

A személyes adatok kezelésével összefüggő jogalkotási vagy szabályozási intézkedések előkészítése során a felügyeleti hatósággal konzultálni kell, így biztosítandó, hogy a tervezett adatkezelés megfeleljen e rendeletnek, különösen annak érdekében, hogy az érintettek számára fennálló kockázat mérséklődjön.

| (97) | Ha az adatkezelést közhatalmi szerv végzi – kivéve a bíróságokat és az egyéb, független igazságügyi hatóságokat, amikor azok igazságszolgáltatási feladataik körében járnak el –, illetve ha az adatkezelést a magánszektorban működő olyan adatkezelő végzi, amelynek fő tevékenységei olyan adatkezelési műveleteket foglalnak magukban, amelyek az érintettek nagymértékű, rendszeres és szisztematikus nyomon követését teszik szükségessé, vagy ha az adatkezelő vagy az adatfeldolgozó alaptevékenysége során a személyes adatok különleges kategóriáit és a büntetőjogi felelősség megállapítására vonatkozó határozatokhoz és bűncselekményekhez kapcsolódó adatokat nagy számban kezel, az adatkezelőt vagy az adatfeldolgozót az e rendeletnek való belső megfelelés ellenőrzésében egy, az adatvédelmi jogot és gyakorlatot szakértői szinten ismerő személy segíti. A magánszektorban működő adatkezelők fő tevékenységei körébe az adatkezelők elsődleges tevékenységei tartoznak, a járulékos tevékenységként végzett személyes adatok kezelése nem. A szakértői ismeretek szükséges szintjét különösen az adatkezelő vagy az adatfeldolgozó által végzett adatkezelés, valamint az általuk kezelt személyes adatok tekintetében megkövetelt védelem alapján kell meghatározni. Az adatvédelmi tisztviselők – függetlenül attól, hogy az adatkezelő alkalmazásában állnak-e – módjában kell, hogy álljon kötelezettségeik és feladataik független ellátása. |
| --- | --- |

(97)

Ha az adatkezelést közhatalmi szerv végzi – kivéve a bíróságokat és az egyéb, független igazságügyi hatóságokat, amikor azok igazságszolgáltatási feladataik körében járnak el –, illetve ha az adatkezelést a magánszektorban működő olyan adatkezelő végzi, amelynek fő tevékenységei olyan adatkezelési műveleteket foglalnak magukban, amelyek az érintettek nagymértékű, rendszeres és szisztematikus nyomon követését teszik szükségessé, vagy ha az adatkezelő vagy az adatfeldolgozó alaptevékenysége során a személyes adatok különleges kategóriáit és a büntetőjogi felelősség megállapítására vonatkozó határozatokhoz és bűncselekményekhez kapcsolódó adatokat nagy számban kezel, az adatkezelőt vagy az adatfeldolgozót az e rendeletnek való belső megfelelés ellenőrzésében egy, az adatvédelmi jogot és gyakorlatot szakértői szinten ismerő személy segíti. A magánszektorban működő adatkezelők fő tevékenységei körébe az adatkezelők elsődleges tevékenységei tartoznak, a járulékos tevékenységként végzett személyes adatok kezelése nem. A szakértői ismeretek szükséges szintjét különösen az adatkezelő vagy az adatfeldolgozó által végzett adatkezelés, valamint az általuk kezelt személyes adatok tekintetében megkövetelt védelem alapján kell meghatározni. Az adatvédelmi tisztviselők – függetlenül attól, hogy az adatkezelő alkalmazásában állnak-e – módjában kell, hogy álljon kötelezettségeik és feladataik független ellátása.

| (98) | Az adatkezelők, illetve adatfeldolgozók kategóriáit képviselő egyesületeket vagy egyéb szerveket az e rendelet által szabott határokon belül, az e rendelet hatékony alkalmazásának az elősegítése érdekében magatartási kódexek létrehozására kell ösztönözni, adatkezelés sajátosságaira, valamint a mikro-, kis- és középvállalkozások sajátos szükségleteire figyelemmel. E magatartási kódexek keretében meg lehetne határozni az adatkezelők és az adatfeldolgozók kötelezettségeit, figyelembe véve azt a kockázatot, amellyel az adatkezelés a természetes személyek jogaira és szabadságaira nézve valószínűsíthetően jár. |
| --- | --- |

(98)

Az adatkezelők, illetve adatfeldolgozók kategóriáit képviselő egyesületeket vagy egyéb szerveket az e rendelet által szabott határokon belül, az e rendelet hatékony alkalmazásának az elősegítése érdekében magatartási kódexek létrehozására kell ösztönözni, adatkezelés sajátosságaira, valamint a mikro-, kis- és középvállalkozások sajátos szükségleteire figyelemmel. E magatartási kódexek keretében meg lehetne határozni az adatkezelők és az adatfeldolgozók kötelezettségeit, figyelembe véve azt a kockázatot, amellyel az adatkezelés a természetes személyek jogaira és szabadságaira nézve valószínűsíthetően jár.

| (99) | Az adatkezelőket, illetve adatfeldolgozókat képviselő egyesületek vagy egyéb szervek a magatartási kódex létrehozásakor vagy egy már meglévő kódex módosításakor vagy kibővítésekor konzultálnak az érdekelt felekkel – ha ez megoldható köztük az érintettekkel is –, és az e konzultációk során kapott beadványokat, illetve véleményeket figyelembe veszik. |
| --- | --- |

(99)

Az adatkezelőket, illetve adatfeldolgozókat képviselő egyesületek vagy egyéb szervek a magatartási kódex létrehozásakor vagy egy már meglévő kódex módosításakor vagy kibővítésekor konzultálnak az érdekelt felekkel – ha ez megoldható köztük az érintettekkel is –, és az e konzultációk során kapott beadványokat, illetve véleményeket figyelembe veszik.

| (100) | Az átláthatóság és az e rendeletnek való megfelelés elősegítése érdekében ösztönözni kell olyan tanúsítási mechanizmusok, és adatvédelmi bélyegzők illetve jelölések létrehozását, amelyek lehetővé teszik az érintettek számára, hogy gyorsan értékelni tudják az adott termékek és szolgáltatások adatvédelmi szintjét. |
| --- | --- |

(100)

Az átláthatóság és az e rendeletnek való megfelelés elősegítése érdekében ösztönözni kell olyan tanúsítási mechanizmusok, és adatvédelmi bélyegzők illetve jelölések létrehozását, amelyek lehetővé teszik az érintettek számára, hogy gyorsan értékelni tudják az adott termékek és szolgáltatások adatvédelmi szintjét.

| (101) | A nemzetközi kereskedelem és a nemzetközi együttműködés bővítéséhez szükség van a személyes adatoknak az Unión kívüli országok és a nemzetközi szervezetek viszonylatában megvalósuló forgalmára. Az ilyen forgalom növekedése új kihívásokat és problémákat támaszt a személyes adatok védelme tekintetében. Mindazonáltal a személyes adatoknak az Unióból harmadik országbeli adatkezelőknek, adatfeldolgozóknak, egyéb címzetteknek vagy nemzetközi szervezetek részére történő továbbítása esetén nem sérülhet a természetes személyeknek az Unióban e rendelettel biztosított védelem szintje, és annak fenn kell maradnia az ilyen személyes adatoknak az adott harmadik országból vagy nemzetközi szervezettől ezt követően ugyanazon vagy másik harmadik országbeli adatkezelőnek, adatfeldolgozónak vagy nemzetközi szervezetnek történő újbóli továbbítása esetén is. A harmadik országokba és a nemzetközi szervezetekhez való továbbítás csak e rendelet teljes betartása mellett hajtható végre. A továbbításra akkor kerülhet csak sor, ha az adatkezelő vagy az adatfeldolgozó – e rendelet egyéb rendelkezéseire is figyelemmel – teljesíti az harmadik országok vagy nemzetközi szervezeteknek történő adattovábbításra vonatkozó, e rendeletben meghatározott feltételeket. |
| --- | --- |

(101)

A nemzetközi kereskedelem és a nemzetközi együttműködés bővítéséhez szükség van a személyes adatoknak az Unión kívüli országok és a nemzetközi szervezetek viszonylatában megvalósuló forgalmára. Az ilyen forgalom növekedése új kihívásokat és problémákat támaszt a személyes adatok védelme tekintetében. Mindazonáltal a személyes adatoknak az Unióból harmadik országbeli adatkezelőknek, adatfeldolgozóknak, egyéb címzetteknek vagy nemzetközi szervezetek részére történő továbbítása esetén nem sérülhet a természetes személyeknek az Unióban e rendelettel biztosított védelem szintje, és annak fenn kell maradnia az ilyen személyes adatoknak az adott harmadik országból vagy nemzetközi szervezettől ezt követően ugyanazon vagy másik harmadik országbeli adatkezelőnek, adatfeldolgozónak vagy nemzetközi szervezetnek történő újbóli továbbítása esetén is. A harmadik országokba és a nemzetközi szervezetekhez való továbbítás csak e rendelet teljes betartása mellett hajtható végre. A továbbításra akkor kerülhet csak sor, ha az adatkezelő vagy az adatfeldolgozó – e rendelet egyéb rendelkezéseire is figyelemmel – teljesíti az harmadik országok vagy nemzetközi szervezeteknek történő adattovábbításra vonatkozó, e rendeletben meghatározott feltételeket.

| (102) | Ez a rendelet nem érinti az Unió és harmadik országok között létrejött, a személyes adatok továbbításáról – és ennek keretében az érintetteknek szolgáltatandó megfelelő garanciákról – szóló nemzetközi megállapodásokat. A tagállamok köthetnek olyan nemzetközi megállapodásokat, amelyek kiterjednek a személyes adatoknak a harmadik országok vagy a nemzetközi szervezetek részére történő továbbítására, ha e megállapodások nem érintik e rendeletet vagy az uniós jog egyéb rendelkezéseit, továbbá biztosítják az érintettek alapvető jogainak megfelelő szintű védelmét. |
| --- | --- |

(102)

Ez a rendelet nem érinti az Unió és harmadik országok között létrejött, a személyes adatok továbbításáról – és ennek keretében az érintetteknek szolgáltatandó megfelelő garanciákról – szóló nemzetközi megállapodásokat. A tagállamok köthetnek olyan nemzetközi megállapodásokat, amelyek kiterjednek a személyes adatoknak a harmadik országok vagy a nemzetközi szervezetek részére történő továbbítására, ha e megállapodások nem érintik e rendeletet vagy az uniós jog egyéb rendelkezéseit, továbbá biztosítják az érintettek alapvető jogainak megfelelő szintű védelmét.

| (103) | Az Unió egészére kiterjedő hatállyal a Bizottság dönthet úgy, hogy harmadik ország, egy harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet megfelelő adatvédelmi szintet nyújt, így biztosítva az Unió egész területén a jogbiztonságot és az egységességet az ilyen védelmi szintet biztosító harmadik országok vagy nemzetközi szervezetek tekintetében. Ilyen esetekben a személyes adatok az említett országokba vagy nemzetközi szervezetek részére történő továbbítása további engedély beszerzése nélkül lehetséges. A Bizottság a harmadik országnak vagy nemzetközi szervezetnek küldött, teljes körű indokolással ellátott értesítést követően határozhat úgy is, hogy visszavonja ezt a döntést. |
| --- | --- |

(103)

Az Unió egészére kiterjedő hatállyal a Bizottság dönthet úgy, hogy harmadik ország, egy harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet megfelelő adatvédelmi szintet nyújt, így biztosítva az Unió egész területén a jogbiztonságot és az egységességet az ilyen védelmi szintet biztosító harmadik országok vagy nemzetközi szervezetek tekintetében. Ilyen esetekben a személyes adatok az említett országokba vagy nemzetközi szervezetek részére történő továbbítása további engedély beszerzése nélkül lehetséges. A Bizottság a harmadik országnak vagy nemzetközi szervezetnek küldött, teljes körű indokolással ellátott értesítést követően határozhat úgy is, hogy visszavonja ezt a döntést.

| (104) | A Bizottság – az Unió alapjául szolgáló alapvető értékekkel, így különösen az emberi jogok védelmével összhangban – a harmadik országra vagy egy harmadik ország valamely területére vagy meghatározott ágazatára vonatkozó értékelés elkészítésekor figyelembe veszi azt, hogy az adott harmadik országban mennyire tartják tiszteletben a jogállamiságot, az igazságszolgáltatáshoz való jogot, valamint a nemzetközi emberi jogi normákat és előírásokat, valamint megvizsgálja az adott ország általános és ágazati jogszabályait, ideértve a közbiztonságra, a védelemre és a nemzetbiztonságra vonatkozó jogszabályait, valamint közrendjét és büntetőjogát is. Az adott ország valamely területére vagy meghatározott ágazatára vonatkozó megfelelőségi határozat elfogadásakor olyan egyértelmű és objektív szempontokat szükséges figyelembe venni, mint például a konkrét adatkezelési tevékenységek, továbbá a harmadik országban alkalmazandó jogi normák és jogszabályok hatálya. A harmadik országnak olyan kötelezettséget kell vállalnia, amelyek megfelelő – az Unión belül biztosítottal lényegében megegyező – védelmi szintet biztosítanak, különösen amikor a személyes adatokat egy vagy több konkrét ágazatban kezelik. A harmadik országnak különösen gondoskodnia kell a tényleges, független adatvédelmi felügyeletről és tagállami adatvédelmi hatóságokkal való együttműködési mechanizmusairól, továbbá biztosítania kell, hogy az érintettek tényleges és érvényesíthető jogokkal, valamint hatékony közigazgatási és bírósági jogorvoslati lehetőségekkel rendelkezzenek. |
| --- | --- |

(104)

A Bizottság – az Unió alapjául szolgáló alapvető értékekkel, így különösen az emberi jogok védelmével összhangban – a harmadik országra vagy egy harmadik ország valamely területére vagy meghatározott ágazatára vonatkozó értékelés elkészítésekor figyelembe veszi azt, hogy az adott harmadik országban mennyire tartják tiszteletben a jogállamiságot, az igazságszolgáltatáshoz való jogot, valamint a nemzetközi emberi jogi normákat és előírásokat, valamint megvizsgálja az adott ország általános és ágazati jogszabályait, ideértve a közbiztonságra, a védelemre és a nemzetbiztonságra vonatkozó jogszabályait, valamint közrendjét és büntetőjogát is. Az adott ország valamely területére vagy meghatározott ágazatára vonatkozó megfelelőségi határozat elfogadásakor olyan egyértelmű és objektív szempontokat szükséges figyelembe venni, mint például a konkrét adatkezelési tevékenységek, továbbá a harmadik országban alkalmazandó jogi normák és jogszabályok hatálya. A harmadik országnak olyan kötelezettséget kell vállalnia, amelyek megfelelő – az Unión belül biztosítottal lényegében megegyező – védelmi szintet biztosítanak, különösen amikor a személyes adatokat egy vagy több konkrét ágazatban kezelik. A harmadik országnak különösen gondoskodnia kell a tényleges, független adatvédelmi felügyeletről és tagállami adatvédelmi hatóságokkal való együttműködési mechanizmusairól, továbbá biztosítania kell, hogy az érintettek tényleges és érvényesíthető jogokkal, valamint hatékony közigazgatási és bírósági jogorvoslati lehetőségekkel rendelkezzenek.

| (105) | A harmadik ország vagy a nemzetközi szervezet által vállalt nemzetközi kötelezettségeken túl a Bizottság figyelembe veszi a harmadik ország vagy a nemzetközi szervezet egyéb, többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségeit is, továbbá az említett kötelezettségek végrehajtását. Különösen figyelembe kell venni azt, ha a harmadik ország csatlakozott a személyes adatok gépi feldolgozása során a természetes személyek védelméről szóló, 1981. január 28-i Európa tanácsi egyezményhez, valamint annak kiegészítő jegyzőkönyvéhez. A Bizottság a harmadik országok vagy a nemzetközi szervezetek által biztosított védelem szintjének értékelésekor konzultál a Testülettel. |
| --- | --- |

(105)

A harmadik ország vagy a nemzetközi szervezet által vállalt nemzetközi kötelezettségeken túl a Bizottság figyelembe veszi a harmadik ország vagy a nemzetközi szervezet egyéb, többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségeit is, továbbá az említett kötelezettségek végrehajtását. Különösen figyelembe kell venni azt, ha a harmadik ország csatlakozott a személyes adatok gépi feldolgozása során a természetes személyek védelméről szóló, 1981. január 28-i Európa tanácsi egyezményhez, valamint annak kiegészítő jegyzőkönyvéhez. A Bizottság a harmadik országok vagy a nemzetközi szervezetek által biztosított védelem szintjének értékelésekor konzultál a Testülettel.

| (106) | A Bizottság ellenőrzi a harmadik ország, a harmadik ország valamely területe vagy egy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított védelem szintjével kapcsolatos határozatok működésének ellenőrzését, ideértve a 95/46/EK irányelv 25. cikk (6) vagy a 26. cikk (4) bekezdése alapján elfogadott határozatokat is. A megfelelőségi határozatokban a Bizottság rendelkezik a határozatok működésének időszakos felülvizsgálatát célzó mechanizmusról. Az időszakos felülvizsgálatot az említett harmadik országgal vagy nemzetközi szervezettel konzultálva kell elvégezni, és annak során a harmadik országgal vagy nemzetközi szervezettel kapcsolatos minden releváns fejleményt figyelembe kell venni. A nyomon követés és az időszakos felülvizsgálatok elvégzése céljából a Bizottság figyelembe veszi az Európai Parlament és a Tanács, valamint az egyéb érintett szervek és források véleményét és megállapításait. A Bizottság – észszerű határidőn belül – értékeli az utóbbi határozatok végrehajtását, és jelzi az e kérdést érintő megállapításait az e rendelet szerint létrehozott, a 182/2011/EU európai parlamenti és tanácsi rendelet (12) értelmében vett bizottság, valamint az Európai Parlament és a Tanács felé. |
| --- | --- |

(106)

A Bizottság ellenőrzi a harmadik ország, a harmadik ország valamely területe vagy egy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított védelem szintjével kapcsolatos határozatok működésének ellenőrzését, ideértve a 95/46/EK irányelv 25. cikk (6) vagy a 26. cikk (4) bekezdése alapján elfogadott határozatokat is. A megfelelőségi határozatokban a Bizottság rendelkezik a határozatok működésének időszakos felülvizsgálatát célzó mechanizmusról. Az időszakos felülvizsgálatot az említett harmadik országgal vagy nemzetközi szervezettel konzultálva kell elvégezni, és annak során a harmadik országgal vagy nemzetközi szervezettel kapcsolatos minden releváns fejleményt figyelembe kell venni. A nyomon követés és az időszakos felülvizsgálatok elvégzése céljából a Bizottság figyelembe veszi az Európai Parlament és a Tanács, valamint az egyéb érintett szervek és források véleményét és megállapításait. A Bizottság – észszerű határidőn belül – értékeli az utóbbi határozatok végrehajtását, és jelzi az e kérdést érintő megállapításait az e rendelet szerint létrehozott, a 182/2011/EU európai parlamenti és tanácsi rendelet (12) értelmében vett bizottság, valamint az Európai Parlament és a Tanács felé.

| (107) | A Bizottság azt is megállapíthatja, hogy az adott harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő szintű adatvédelmet. Következésképpen a személyes adatok ilyen harmadik országba vagy nemzetközi szervezet részére történő továbbítását meg kell tiltani, kivéve, ha e rendeletbe foglalt, a személyes adatok továbbításra megfelelő garanciák alapján történik, ideértve a kötelező erejű vállalati szabályokat, és a meghatározott helyzetekben biztosított eltérésekre vonatkozó követelményeket. Erre az esetre a Bizottság és az ilyen harmadik országok vagy nemzetközi szervezetek közötti konzultációkra vonatkozó eljárásokról rendelkezni kell. A Bizottság megfelelő időben tájékoztatja az érintett harmadik országot vagy nemzetközi szervezetet az indokokról, és vele a helyzet orvoslása érdekében konzultációkat folytat. |
| --- | --- |

(107)

A Bizottság azt is megállapíthatja, hogy az adott harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő szintű adatvédelmet. Következésképpen a személyes adatok ilyen harmadik országba vagy nemzetközi szervezet részére történő továbbítását meg kell tiltani, kivéve, ha e rendeletbe foglalt, a személyes adatok továbbításra megfelelő garanciák alapján történik, ideértve a kötelező erejű vállalati szabályokat, és a meghatározott helyzetekben biztosított eltérésekre vonatkozó követelményeket. Erre az esetre a Bizottság és az ilyen harmadik országok vagy nemzetközi szervezetek közötti konzultációkra vonatkozó eljárásokról rendelkezni kell. A Bizottság megfelelő időben tájékoztatja az érintett harmadik országot vagy nemzetközi szervezetet az indokokról, és vele a helyzet orvoslása érdekében konzultációkat folytat.

| (108) | Megfelelőségi határozat hiányában az adatkezelő vagy az adatfeldolgozó a megfelelő garanciák érintett számára való biztosítása útján gondoskodik az adatvédelem harmadik országbeli hiányosságainak ellensúlyozásáról. Ezek a megfelelő garanciák magukban foglalhatják a kötelező erejű vállalati szabályok, a Bizottság által elfogadott általános adatvédelmi kikötések, a felügyeleti hatóság által elfogadott általános adatvédelmi kikötések vagy a felügyeleti hatóság által engedélyezett általános szerződési feltételek alkalmazását. A garanciák biztosítják az adatvédelmi követelményeknek való megfelelést, és az Unión belüli adatkezelés esetén biztosított jogokkal azonos szintű jogokat biztosítanak az érintettek számára, beleértve az érintettek jogainak érvényesíthetőségét és a hatékony jogorvoslat lehetőségét, ezen belül ideértve azt, hogy az érintettek hatékony közigazgatási vagy bírósági jogorvoslatot vehessenek igénybe és kártérítést igényelhessenek az Unióban vagy egy harmadik országban. A garanciák különösen a személyes adatok kezelésre vonatkozó általános elveknek, valamint a beépített és alapértelmezett adatvédelem elveinek való megfelelésre vonatkoznak. Adattovábbítást közhatalmi szerv vagy egyéb, közfeladatot ellátó szervek is végezhetnek, harmadik országbeli közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek vagy hasonló feladatot vagy funkciókat ellátó nemzetközi szervezetek felé, ideértve a közigazgatási megállapodásokba – például egyetértési megállapodás formájában – beillesztendő, az érintetteknek tényleges és érvényesíthető jogokat biztosító rendelkezések alapján. Az illetékes felügyeleti hatóság engedélyét be kell szerezni abban az esetben, ha a garanciákat olyan közigazgatási megállapodások tartalmazzák, amelyek jogilag nem kötelező erejűek. |
| --- | --- |

(108)

Megfelelőségi határozat hiányában az adatkezelő vagy az adatfeldolgozó a megfelelő garanciák érintett számára való biztosítása útján gondoskodik az adatvédelem harmadik országbeli hiányosságainak ellensúlyozásáról. Ezek a megfelelő garanciák magukban foglalhatják a kötelező erejű vállalati szabályok, a Bizottság által elfogadott általános adatvédelmi kikötések, a felügyeleti hatóság által elfogadott általános adatvédelmi kikötések vagy a felügyeleti hatóság által engedélyezett általános szerződési feltételek alkalmazását. A garanciák biztosítják az adatvédelmi követelményeknek való megfelelést, és az Unión belüli adatkezelés esetén biztosított jogokkal azonos szintű jogokat biztosítanak az érintettek számára, beleértve az érintettek jogainak érvényesíthetőségét és a hatékony jogorvoslat lehetőségét, ezen belül ideértve azt, hogy az érintettek hatékony közigazgatási vagy bírósági jogorvoslatot vehessenek igénybe és kártérítést igényelhessenek az Unióban vagy egy harmadik országban. A garanciák különösen a személyes adatok kezelésre vonatkozó általános elveknek, valamint a beépített és alapértelmezett adatvédelem elveinek való megfelelésre vonatkoznak. Adattovábbítást közhatalmi szerv vagy egyéb, közfeladatot ellátó szervek is végezhetnek, harmadik országbeli közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek vagy hasonló feladatot vagy funkciókat ellátó nemzetközi szervezetek felé, ideértve a közigazgatási megállapodásokba – például egyetértési megállapodás formájában – beillesztendő, az érintetteknek tényleges és érvényesíthető jogokat biztosító rendelkezések alapján. Az illetékes felügyeleti hatóság engedélyét be kell szerezni abban az esetben, ha a garanciákat olyan közigazgatási megállapodások tartalmazzák, amelyek jogilag nem kötelező erejűek.

| (109) | Az a lehetőség, mely szerint az adatkezelő vagy az adatfeldolgozó alkalmazhatja a Bizottság vagy a felügyeleti hatóság által elfogadott általános adatvédelmi kikötéseket, egyik sem zárja ki, hogy az adatkezelő vagy az adatfeldolgozó szélesebb körű szerződésben – ideértve az adatfeldolgozó és valamely egyéb adatfeldolgozó közötti szerződéseket is – alkalmazza ezen általános adatvédelmi kikötéseket, sem azt, hogy további rendelkezéseket vagy garanciákat adjon hozzá, feltéve hogy azok sem közvetlen, sem közvetett módon nem ellentétesek a Bizottság vagy a felügyeleti hatóság által elfogadott általános szerződési feltételekkel, és nem sértik az érintettek alapvető jogait és szabadságait. Az adatkezelőket és az adatfeldolgozókat arra kell ösztönözni, hogy az általános adatvédelmi kikötéseket kiegészítő további szerződéses kötelezettségvállalások útján még erőteljesebb garanciákat nyújtsanak. |
| --- | --- |

(109)

Az a lehetőség, mely szerint az adatkezelő vagy az adatfeldolgozó alkalmazhatja a Bizottság vagy a felügyeleti hatóság által elfogadott általános adatvédelmi kikötéseket, egyik sem zárja ki, hogy az adatkezelő vagy az adatfeldolgozó szélesebb körű szerződésben – ideértve az adatfeldolgozó és valamely egyéb adatfeldolgozó közötti szerződéseket is – alkalmazza ezen általános adatvédelmi kikötéseket, sem azt, hogy további rendelkezéseket vagy garanciákat adjon hozzá, feltéve hogy azok sem közvetlen, sem közvetett módon nem ellentétesek a Bizottság vagy a felügyeleti hatóság által elfogadott általános szerződési feltételekkel, és nem sértik az érintettek alapvető jogait és szabadságait. Az adatkezelőket és az adatfeldolgozókat arra kell ösztönözni, hogy az általános adatvédelmi kikötéseket kiegészítő további szerződéses kötelezettségvállalások útján még erőteljesebb garanciákat nyújtsanak.

| (110) | A vállalkozáscsoportok és a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportjai számára lehetővé kell tenni, hogy jóváhagyott kötelező erejű vállalati szabályokat alkalmazzanak az Unióból a vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli szervezetekhez irányuló nemzetközi adattovábbítások során, feltéve hogy e kötelező erejű vállalati szabályok minden olyan alapvető elvet és érvényesíthető jogot magukban foglalnak, amelyek megfelelő garanciát nyújtanak a személyes adatoknak vagy azok bizonyos kategóriáinak a továbbítására vonatkozóan. |
| --- | --- |

(110)

A vállalkozáscsoportok és a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportjai számára lehetővé kell tenni, hogy jóváhagyott kötelező erejű vállalati szabályokat alkalmazzanak az Unióból a vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli szervezetekhez irányuló nemzetközi adattovábbítások során, feltéve hogy e kötelező erejű vállalati szabályok minden olyan alapvető elvet és érvényesíthető jogot magukban foglalnak, amelyek megfelelő garanciát nyújtanak a személyes adatoknak vagy azok bizonyos kategóriáinak a továbbítására vonatkozóan.

| (111) | Ha az érintett kifejezett hozzájárulását adta, az adatok továbbítását bizonyos körülmények esetén lehetővé kell tenni, ha az adattovábbítás alkalomszerű, és valamely szerződéssel vagy jogi igénnyel kapcsolatban válik szükségessé, függetlenül attól, hogy a szerződés teljesítésére vagy a jogi igény érvényesítésére bírósági eljárás, illetve közigazgatási vagy egyéb nem bírósági útra tartozó eljárás keretében kerül-e sor, ideértve a szabályozói szervek előtt zajló eljárásokat is. Szintén lehetővé kell tenni az adatok továbbítását, ha azt az uniós vagy tagállami jogban megállapított fontos közérdek védelme megkívánja, vagy ha a továbbításra jogszabály alapján létrehozott nyilvántartásból kerül sor, és célja a nyilvánosság vagy az e tekintetben jogos érdekkel rendelkezők általi betekintés biztosítása. Ez utóbbi esetben az ilyen továbbítás nem vonatkozhat a nyilvántartásban szereplő személye adatok vagy adatkategóriák összességére, és ha a nyilvántartás célja a jogos érdekkel rendelkező személyek általi betekintés biztosítása, a nekik való továbbításra kizárólag e személyek kérelmére kerülhet sor, vagy akkor, ha ők a címzettek, teljes mértékben figyelembe véve az érintettek érdekeit és alapvető jogait. |
| --- | --- |

(111)

Ha az érintett kifejezett hozzájárulását adta, az adatok továbbítását bizonyos körülmények esetén lehetővé kell tenni, ha az adattovábbítás alkalomszerű, és valamely szerződéssel vagy jogi igénnyel kapcsolatban válik szükségessé, függetlenül attól, hogy a szerződés teljesítésére vagy a jogi igény érvényesítésére bírósági eljárás, illetve közigazgatási vagy egyéb nem bírósági útra tartozó eljárás keretében kerül-e sor, ideértve a szabályozói szervek előtt zajló eljárásokat is. Szintén lehetővé kell tenni az adatok továbbítását, ha azt az uniós vagy tagállami jogban megállapított fontos közérdek védelme megkívánja, vagy ha a továbbításra jogszabály alapján létrehozott nyilvántartásból kerül sor, és célja a nyilvánosság vagy az e tekintetben jogos érdekkel rendelkezők általi betekintés biztosítása. Ez utóbbi esetben az ilyen továbbítás nem vonatkozhat a nyilvántartásban szereplő személye adatok vagy adatkategóriák összességére, és ha a nyilvántartás célja a jogos érdekkel rendelkező személyek általi betekintés biztosítása, a nekik való továbbításra kizárólag e személyek kérelmére kerülhet sor, vagy akkor, ha ők a címzettek, teljes mértékben figyelembe véve az érintettek érdekeit és alapvető jogait.

| (112) | Ezeket az eltéréseket különösen a fontos közérdekből szükséges adattovábbításokra kell alkalmazni, például a versenyhatóságok, adó- és vámhatóságok, pénzügyi felügyeleti hatóságok vagy a társadalombiztosítási ügyekért vagy a népegészségügyért felelős hivatalok közötti nemzetközi adatcsere érdekében, például fertőző betegségek felmerülésének esetekor a fertőzöttekkel való érintkezések nyomon követése vagy a doppingszerek sportban való használatának visszaszorítása és/vagy megszüntetése céljából. A személyes adatok továbbítása hasonlóképpen jogszerűnek tekintendő, ha olyan érdek védelméhez szükséges, amely az érintett vagy valamely más személy létfontosságú érdekeinek – köztük testi épségének vagy életének – védelme szempontjából bír alapvető fontossággal, és az érintettnek nem áll módjában hozzájárulását megadni. Megfelelőségi határozat hiányában az uniós jog vagy a tagállami jog fontos közérdekből kifejezetten korlátozhatja bizonyos kategóriába tartozó adatoknak valamely harmadik országba vagy nemzetközi szervezet részére történő továbbítását. A tagállamok az ilyen rendelkezésekről a Bizottságot értesítik. Ha a genfi egyezmények által előírt feladat elvégzése, illetve a nemzetközi humanitárius jog fegyveres konfliktus esetén alkalmazandó rendelkezéseinek történő megfelelés alapján valamely nemzetközi humanitárius szervezet számára olyan érintett személyes adatait továbbítják, akinek fizikailag vagy jogilag nem áll módjában a hozzájárulás megadása, erre úgy lehet tekinteni, mint ami fontos közérdekből vagy az érintett létfontosságú érdeke védelmében szükséges. |
| --- | --- |

(112)

Ezeket az eltéréseket különösen a fontos közérdekből szükséges adattovábbításokra kell alkalmazni, például a versenyhatóságok, adó- és vámhatóságok, pénzügyi felügyeleti hatóságok vagy a társadalombiztosítási ügyekért vagy a népegészségügyért felelős hivatalok közötti nemzetközi adatcsere érdekében, például fertőző betegségek felmerülésének esetekor a fertőzöttekkel való érintkezések nyomon követése vagy a doppingszerek sportban való használatának visszaszorítása és/vagy megszüntetése céljából. A személyes adatok továbbítása hasonlóképpen jogszerűnek tekintendő, ha olyan érdek védelméhez szükséges, amely az érintett vagy valamely más személy létfontosságú érdekeinek – köztük testi épségének vagy életének – védelme szempontjából bír alapvető fontossággal, és az érintettnek nem áll módjában hozzájárulását megadni. Megfelelőségi határozat hiányában az uniós jog vagy a tagállami jog fontos közérdekből kifejezetten korlátozhatja bizonyos kategóriába tartozó adatoknak valamely harmadik országba vagy nemzetközi szervezet részére történő továbbítását. A tagállamok az ilyen rendelkezésekről a Bizottságot értesítik. Ha a genfi egyezmények által előírt feladat elvégzése, illetve a nemzetközi humanitárius jog fegyveres konfliktus esetén alkalmazandó rendelkezéseinek történő megfelelés alapján valamely nemzetközi humanitárius szervezet számára olyan érintett személyes adatait továbbítják, akinek fizikailag vagy jogilag nem áll módjában a hozzájárulás megadása, erre úgy lehet tekinteni, mint ami fontos közérdekből vagy az érintett létfontosságú érdeke védelmében szükséges.

| (113) | Az ismétlődőnek nem minősíthető és csupán korlátozott számú érintettre vonatkozó adattovábbítás szintén megengedhető az adatkezelő által követett, kényszerítő erejű jogos érdekből, feltéve hogy ezen érdekekkel szemben nem élveznek elsőbbséget az érintett érdekei vagy jogai és szabadságai, és az adatkezelő az adattovábbítás összes körülményét felmérte. Az adatkezelőnek különös figyelmet kell fordítania a személyes adatok jellegére, a tervezett adatkezelési művelet vagy műveletek céljára és időtartamára, valamint a származási országban, a harmadik országban és a célországban fennálló helyzetre, továbbá a személyes adatok kezelése tekintetében a természetes személyek alapvető jogainak és szabadságainak védelme érdekében nyújtott megfelelő garanciákra. Ilyen adattovábbítás csak abban az esetben lehetséges, ha az adattovábbítás egyéb lehetséges indokait nem lehet alkalmazni. A tudományos és történelmi kutatási célokból, vagy statisztikai célokból folytatott adatkezelés esetében figyelembe kell venni a társadalomnak a tudás növelésével kapcsolatos jogos elvárásait. Az adatkezelő az adattovábbításról tájékoztatja a felügyeleti hatóságot és az érintettet. |
| --- | --- |

(113)

Az ismétlődőnek nem minősíthető és csupán korlátozott számú érintettre vonatkozó adattovábbítás szintén megengedhető az adatkezelő által követett, kényszerítő erejű jogos érdekből, feltéve hogy ezen érdekekkel szemben nem élveznek elsőbbséget az érintett érdekei vagy jogai és szabadságai, és az adatkezelő az adattovábbítás összes körülményét felmérte. Az adatkezelőnek különös figyelmet kell fordítania a személyes adatok jellegére, a tervezett adatkezelési művelet vagy műveletek céljára és időtartamára, valamint a származási országban, a harmadik országban és a célországban fennálló helyzetre, továbbá a személyes adatok kezelése tekintetében a természetes személyek alapvető jogainak és szabadságainak védelme érdekében nyújtott megfelelő garanciákra. Ilyen adattovábbítás csak abban az esetben lehetséges, ha az adattovábbítás egyéb lehetséges indokait nem lehet alkalmazni. A tudományos és történelmi kutatási célokból, vagy statisztikai célokból folytatott adatkezelés esetében figyelembe kell venni a társadalomnak a tudás növelésével kapcsolatos jogos elvárásait. Az adatkezelő az adattovábbításról tájékoztatja a felügyeleti hatóságot és az érintettet.

| (114) | Ha a Bizottság az adott harmadik ország viszonylatában nem hozott határozatot a harmadik ország adatvédelemi szintjéről, az adatkezelő vagy az adatfeldolgozó olyan megoldásokhoz folyamodhat, amelyek az érintettek számára olyan tényleges és érvényesíthető jogokat garantálnak, hogy az érintettek az adattovábbítást követően is élvezhetik az őket megillető alapvető jogokat és garanciákat. |
| --- | --- |

(114)

Ha a Bizottság az adott harmadik ország viszonylatában nem hozott határozatot a harmadik ország adatvédelemi szintjéről, az adatkezelő vagy az adatfeldolgozó olyan megoldásokhoz folyamodhat, amelyek az érintettek számára olyan tényleges és érvényesíthető jogokat garantálnak, hogy az érintettek az adattovábbítást követően is élvezhetik az őket megillető alapvető jogokat és garanciákat.

| (115) | Néhány harmadik ország olyan törvényeket, rendeleteket és más jogszabályokat fogad el, amelyek jogot formálnak a tagállamok joghatósága alá tartozó természetes vagy jogi személyek által végzett adatkezelési tevékenységek közvetlen szabályozására. Ide tartoznak a harmadik országok bíróságai és törvényszékei által hozott ítéletek, valamint közigazgatási hatóságai által hozott döntések, amelyek valamely adatkezelő vagy adatfeldolgozó számára személyes adatok továbbítását vagy közlését írják elő, és amelyek nem egy olyan hatályos nemzetközi megállapodáson, például kölcsönös jogsegélyről szóló megállapodáson alapulnak, amely a megkereső harmadik ország és az Unió vagy egy tagállama között jött létre. E törvények, rendeletek és más jogszabályok országhatáron kívüli alkalmazása sértheti a nemzetközi jogot és akadályozhatja a természetes személyeknek az Unióban e rendelet által biztosított védelmét. Az adattovábbítás csak akkor engedélyezhető, ha az e rendeletben a harmadik országokba történő adattovábbítás tekintetében meghatározott feltételek teljesülnek. Ez többek között akkor állhat fenn, ha az adatközlés olyan, az uniós jogban vagy azon tagállam jogában elismert fontos közérdekből szükséges, amelynek az adatkezelő a hatálya alá tartozik. |
| --- | --- |

(115)

Néhány harmadik ország olyan törvényeket, rendeleteket és más jogszabályokat fogad el, amelyek jogot formálnak a tagállamok joghatósága alá tartozó természetes vagy jogi személyek által végzett adatkezelési tevékenységek közvetlen szabályozására. Ide tartoznak a harmadik országok bíróságai és törvényszékei által hozott ítéletek, valamint közigazgatási hatóságai által hozott döntések, amelyek valamely adatkezelő vagy adatfeldolgozó számára személyes adatok továbbítását vagy közlését írják elő, és amelyek nem egy olyan hatályos nemzetközi megállapodáson, például kölcsönös jogsegélyről szóló megállapodáson alapulnak, amely a megkereső harmadik ország és az Unió vagy egy tagállama között jött létre. E törvények, rendeletek és más jogszabályok országhatáron kívüli alkalmazása sértheti a nemzetközi jogot és akadályozhatja a természetes személyeknek az Unióban e rendelet által biztosított védelmét. Az adattovábbítás csak akkor engedélyezhető, ha az e rendeletben a harmadik országokba történő adattovábbítás tekintetében meghatározott feltételek teljesülnek. Ez többek között akkor állhat fenn, ha az adatközlés olyan, az uniós jogban vagy azon tagállam jogában elismert fontos közérdekből szükséges, amelynek az adatkezelő a hatálya alá tartozik.

| (116) | A személyes adatok uniós külső határokat átlépő továbbításakor megnövekedhet annak a kockázata, hogy a természetes személyek adatvédelmi jogaikat nem képesek gyakorolni, különösen ami az adatok jogellenes felhasználása vagy közlése elleni védelmet illeti. Ugyanakkor előfordulhat, hogy a felügyeleti hatóságok nem tudnak az országuk határaikon kívül folyó tevékenységek tekintetében a panaszok kapcsán eljárni vagy vizsgálatot lefolytatni. A határokon átnyúló összefüggésben tett erőfeszítéseiket az elégtelen megelőzési vagy jogorvoslati hatáskör, az egymásnak ellentmondó jogrendszerek, valamint olyan gyakorlati akadályok is hátráltathatják, mint a források korlátozott volta. Ezért elő kell mozdítani az adatvédelmi felügyeleti hatóságok közötti szorosabb együttműködést az információcsere és a nemzetközi partnerekkel folytatott vizsgálatok elősegítése érdekében. A személyes adatok védelmét célzó jogszabályok érvényesítését célzó kölcsönös nemzetközi segítségnyújtást megkönnyítő, illetve biztosító nemzetközi együttműködési mechanizmusok kifejlesztése érdekében a Bizottság és a felügyeleti hatóságok hatáskörük gyakorlása során kölcsönösségen alapuló információcserét és együttműködést folytatnak a harmadik országbeli illetékes hatóságokkal, e rendelettel összhangban. |
| --- | --- |

(116)

A személyes adatok uniós külső határokat átlépő továbbításakor megnövekedhet annak a kockázata, hogy a természetes személyek adatvédelmi jogaikat nem képesek gyakorolni, különösen ami az adatok jogellenes felhasználása vagy közlése elleni védelmet illeti. Ugyanakkor előfordulhat, hogy a felügyeleti hatóságok nem tudnak az országuk határaikon kívül folyó tevékenységek tekintetében a panaszok kapcsán eljárni vagy vizsgálatot lefolytatni. A határokon átnyúló összefüggésben tett erőfeszítéseiket az elégtelen megelőzési vagy jogorvoslati hatáskör, az egymásnak ellentmondó jogrendszerek, valamint olyan gyakorlati akadályok is hátráltathatják, mint a források korlátozott volta. Ezért elő kell mozdítani az adatvédelmi felügyeleti hatóságok közötti szorosabb együttműködést az információcsere és a nemzetközi partnerekkel folytatott vizsgálatok elősegítése érdekében. A személyes adatok védelmét célzó jogszabályok érvényesítését célzó kölcsönös nemzetközi segítségnyújtást megkönnyítő, illetve biztosító nemzetközi együttműködési mechanizmusok kifejlesztése érdekében a Bizottság és a felügyeleti hatóságok hatáskörük gyakorlása során kölcsönösségen alapuló információcserét és együttműködést folytatnak a harmadik országbeli illetékes hatóságokkal, e rendelettel összhangban.

| (117) | A természetes személyek személyes adatainak kezelésével összefüggésben fennálló védelemnek alapvető alkotóeleme, hogy a tagállamokban feladataik ellátása és hatásköreik gyakorlása során teljes függetlenséget élvező felügyeleti hatóságokat hozzanak létre. A tagállamok saját alkotmányos, szervezeti és közigazgatási szerkezetükhöz igazodva egynél több felügyeleti hatóságot is létrehozhatnak. |
| --- | --- |

(117)

A természetes személyek személyes adatainak kezelésével összefüggésben fennálló védelemnek alapvető alkotóeleme, hogy a tagállamokban feladataik ellátása és hatásköreik gyakorlása során teljes függetlenséget élvező felügyeleti hatóságokat hozzanak létre. A tagállamok saját alkotmányos, szervezeti és közigazgatási szerkezetükhöz igazodva egynél több felügyeleti hatóságot is létrehozhatnak.

| (118) | A felügyeleti hatóságok függetlensége nem értelmezhető úgy, mintha ki lennének vonva a pénzügyi kiadásaik ellenőrzésére vagy nyomon követésére szolgáló mechanizmusok vagy a bírósági felülvizsgálat hatálya alól. |
| --- | --- |

(118)

A felügyeleti hatóságok függetlensége nem értelmezhető úgy, mintha ki lennének vonva a pénzügyi kiadásaik ellenőrzésére vagy nyomon követésére szolgáló mechanizmusok vagy a bírósági felülvizsgálat hatálya alól.

| (119) | Ha valamely tagállam több felügyeleti hatóságot is létrehoz, jogszabályban szükséges rögzíteni azokat mechanizmusokat, amelyek biztosítják e felügyeleti hatóságok hatékony részvételét az egységességi mechanizmusban. Az említett tagállam kijelöli különösen azt a felügyeleti hatóságot, amely egyedüli kapcsolattartóként jár el más felügyeleti hatóságokkal annak érdekében, hogy az egységességi mechanizmusban hatékonyan részt vegyen, valamint a Testülettel és a Bizottsággal történő gyors és zökkenőmentes együttműködés érdekében. |
| --- | --- |

(119)

Ha valamely tagállam több felügyeleti hatóságot is létrehoz, jogszabályban szükséges rögzíteni azokat mechanizmusokat, amelyek biztosítják e felügyeleti hatóságok hatékony részvételét az egységességi mechanizmusban. Az említett tagállam kijelöli különösen azt a felügyeleti hatóságot, amely egyedüli kapcsolattartóként jár el más felügyeleti hatóságokkal annak érdekében, hogy az egységességi mechanizmusban hatékonyan részt vegyen, valamint a Testülettel és a Bizottsággal történő gyors és zökkenőmentes együttműködés érdekében.

| (120) | Valamennyi felügyeleti hatóság számára biztosítani kell a feladatai – beleértve az Unió bármely másik felügyeleti hatóságával való kölcsönös segítségnyújtáshoz és együttműködéshez kapcsolódó feladatokat is – hatékony ellátásához szükséges anyagi és személyzeti forrásokat, helyiségeket és infrastruktúrát. Minden felügyeleti hatóság saját, nyilvános, éves költségvetéssel rendelkezik, amely az állami vagy nemzeti költségvetés részét képezheti. |
| --- | --- |

(120)

Valamennyi felügyeleti hatóság számára biztosítani kell a feladatai – beleértve az Unió bármely másik felügyeleti hatóságával való kölcsönös segítségnyújtáshoz és együttműködéshez kapcsolódó feladatokat is – hatékony ellátásához szükséges anyagi és személyzeti forrásokat, helyiségeket és infrastruktúrát. Minden felügyeleti hatóság saját, nyilvános, éves költségvetéssel rendelkezik, amely az állami vagy nemzeti költségvetés részét képezheti.

| (121) | A felügyeleti hatóság tagjára vagy tagjaira vonatkozó általános feltételeket minden tagállamban jogszabályban kell rögzíteni, hogy tagjait átlátható eljárás keretében az adott tagállam parlamentje, kormánya vagy államfője nevezi ki a kormány, a kormány egyik tagja, a parlament vagy valamelyik parlamenti kamara, vagy pedig a tagállami jogban a kinevezéssel megbízott független szerv javaslata alapján. A felügyeleti hatóság függetlenségének biztosítása érdekében, az említett tag vagy tagok tisztességesen járnak el, tartózkodnak a feladatkörükkel össze nem egyeztethető cselekményektől, valamint hivatali idejük alatt nem vállalhatnak semmilyen azzal összeférhetetlen szakmai tevékenységet, sem javadalmazás ellenében, sem a nélkül. A felügyeleti hatóság saját személyzettel rendelkezik, amelyet a felügyeleti hatóság vagy a tagállam joga által létrehozott független szerv választ ki, és amely a felügyeleti hatóság egy tagja vagy tagjai kizárólagos irányítása alá tartozik. |
| --- | --- |

(121)

A felügyeleti hatóság tagjára vagy tagjaira vonatkozó általános feltételeket minden tagállamban jogszabályban kell rögzíteni, hogy tagjait átlátható eljárás keretében az adott tagállam parlamentje, kormánya vagy államfője nevezi ki a kormány, a kormány egyik tagja, a parlament vagy valamelyik parlamenti kamara, vagy pedig a tagállami jogban a kinevezéssel megbízott független szerv javaslata alapján. A felügyeleti hatóság függetlenségének biztosítása érdekében, az említett tag vagy tagok tisztességesen járnak el, tartózkodnak a feladatkörükkel össze nem egyeztethető cselekményektől, valamint hivatali idejük alatt nem vállalhatnak semmilyen azzal összeférhetetlen szakmai tevékenységet, sem javadalmazás ellenében, sem a nélkül. A felügyeleti hatóság saját személyzettel rendelkezik, amelyet a felügyeleti hatóság vagy a tagállam joga által létrehozott független szerv választ ki, és amely a felügyeleti hatóság egy tagja vagy tagjai kizárólagos irányítása alá tartozik.

| (122) | Az egyes felügyeleti hatóságok saját tagállamuk területén illetékesek az e rendelettel összhangban rájuk ruházott hatáskörök és feladatok gyakorlására, illetve végzésére. Ez kiterjed különösen az adatkezelők vagy az adatfeldolgozók tevékenységi helyén folytatott tevékenységekkel összefüggésben a tagállamuk területén végzett adatkezelésre, a személyes adatoknak a közhatalmi szervek vagy közérdekből eljáró magánfél szervezetek által végzett kezelésére, a tagállamuk területén élő érintettekre irányuló adatkezelésre, illetve az Unióban tevékenységi hellyel nem rendelkező adatkezelők vagy adatfeldolgozók által végzett adatkezelésre, ha az érintettek az adott tagállam területén tartózkodnak. Ez magában foglalja, hogy az érintettek által benyújtott panaszokkal kapcsolatban eljár, lefolytatja az e rendelet alkalmazásával kapcsolatos vizsgálatokat, valamint a személyes adatok kezelésével összefüggő kockázatok, szabályok, garanciák és jogok terén tájékoztatja a nyilvánosságot is. |
| --- | --- |

(122)

Az egyes felügyeleti hatóságok saját tagállamuk területén illetékesek az e rendelettel összhangban rájuk ruházott hatáskörök és feladatok gyakorlására, illetve végzésére. Ez kiterjed különösen az adatkezelők vagy az adatfeldolgozók tevékenységi helyén folytatott tevékenységekkel összefüggésben a tagállamuk területén végzett adatkezelésre, a személyes adatoknak a közhatalmi szervek vagy közérdekből eljáró magánfél szervezetek által végzett kezelésére, a tagállamuk területén élő érintettekre irányuló adatkezelésre, illetve az Unióban tevékenységi hellyel nem rendelkező adatkezelők vagy adatfeldolgozók által végzett adatkezelésre, ha az érintettek az adott tagállam területén tartózkodnak. Ez magában foglalja, hogy az érintettek által benyújtott panaszokkal kapcsolatban eljár, lefolytatja az e rendelet alkalmazásával kapcsolatos vizsgálatokat, valamint a személyes adatok kezelésével összefüggő kockázatok, szabályok, garanciák és jogok terén tájékoztatja a nyilvánosságot is.

| (123) | A felügyeleti hatóságok annak érdekében, hogy védjék a természetes személyek személyes adatainak kezelését, valamint biztosítsák a személyes adatok belső piacon belüli szabad áramlását, figyelemmel kísérik az e rendelet szerinti rendelkezések alkalmazását, és hozzájárulnak azoknak az Unió egész területén történő egységes alkalmazásához. E célból a felügyeleti hatóságok együttműködnek egymással és a Bizottsággal, anélkül, hogy a kölcsönös segítségnyújtásról vagy erről az együttműködésről szükséges lenne a tagállamoknak megállapodniuk. |
| --- | --- |

(123)

A felügyeleti hatóságok annak érdekében, hogy védjék a természetes személyek személyes adatainak kezelését, valamint biztosítsák a személyes adatok belső piacon belüli szabad áramlását, figyelemmel kísérik az e rendelet szerinti rendelkezések alkalmazását, és hozzájárulnak azoknak az Unió egész területén történő egységes alkalmazásához. E célból a felügyeleti hatóságok együttműködnek egymással és a Bizottsággal, anélkül, hogy a kölcsönös segítségnyújtásról vagy erről az együttműködésről szükséges lenne a tagállamoknak megállapodniuk.

| (124) | Ha a személyes adatok kezelésére az adatkezelő vagy az adatfeldolgozó Unión belüli tevékenységi helyén folytatott tevékenységekkel összefüggésben kerül sor, és az adatkezelő vagy az adatfeldolgozó egynél több tagállamban rendelkezik tevékenységi hellyel, vagy ha az adatkezelő vagy az adatfeldolgozó kizárólag Unión belüli tevékenységi helyen folytatott tevékenységekkel összefüggésben megvalósuló adatkezelés az érintetteket egynél több tagállamban jelentős mértékben érinti vagy valószínűsíthetően jelentős mértékben érinti, akkor fő hatóságként az adatkezelő vagy az adatfeldolgozó tevékenységi központja vagy egyetlen tevékenységi helye szerinti felügyeleti hatósága jár el. A fő hatóság együttműködik olyan egyéb hatóságokkal, amelyek szintén érintettek amiatt, hogy az adatkezelő vagy adatfeldolgozó tevékenységi hellyel rendelkezik a tagállamuk területén, hogy a területükön lakóhellyel rendelkező érintettek jelentős mértékben érintve vannak, vagy, hogy panaszt nyújtottak be hozzájuk. Továbbá, ha az adott tagállam területén lakóhellyel nem rendelkező érintett nyújtott be panaszt, azt a felügyeleti hatóságot, amelyhez a panaszt benyújtotta, szintén érintett felügyeleti hatóságnak kell tekinteni. Az e rendelet alkalmazásával kapcsolatos kérdésekre vonatkozó iránymutatások kiadásával összefüggő feladatai keretében a Testület számára lehetővé kell tenni, hogy iránymutatásokat adjon ki különösen azokra a szempontokra vonatkozóan, amelyeket figyelembe kell venni ahhoz, hogy meg lehessen győződni arról, hogy a szóban forgó adatkezelés egynél több tagállamban érint-e jelentős mértékben érintetteket, valamint arra vonatkozóan, hogy mi tekintendő releváns és megalapozott kifogásnak. |
| --- | --- |

(124)

Ha a személyes adatok kezelésére az adatkezelő vagy az adatfeldolgozó Unión belüli tevékenységi helyén folytatott tevékenységekkel összefüggésben kerül sor, és az adatkezelő vagy az adatfeldolgozó egynél több tagállamban rendelkezik tevékenységi hellyel, vagy ha az adatkezelő vagy az adatfeldolgozó kizárólag Unión belüli tevékenységi helyen folytatott tevékenységekkel összefüggésben megvalósuló adatkezelés az érintetteket egynél több tagállamban jelentős mértékben érinti vagy valószínűsíthetően jelentős mértékben érinti, akkor fő hatóságként az adatkezelő vagy az adatfeldolgozó tevékenységi központja vagy egyetlen tevékenységi helye szerinti felügyeleti hatósága jár el. A fő hatóság együttműködik olyan egyéb hatóságokkal, amelyek szintén érintettek amiatt, hogy az adatkezelő vagy adatfeldolgozó tevékenységi hellyel rendelkezik a tagállamuk területén, hogy a területükön lakóhellyel rendelkező érintettek jelentős mértékben érintve vannak, vagy, hogy panaszt nyújtottak be hozzájuk. Továbbá, ha az adott tagállam területén lakóhellyel nem rendelkező érintett nyújtott be panaszt, azt a felügyeleti hatóságot, amelyhez a panaszt benyújtotta, szintén érintett felügyeleti hatóságnak kell tekinteni. Az e rendelet alkalmazásával kapcsolatos kérdésekre vonatkozó iránymutatások kiadásával összefüggő feladatai keretében a Testület számára lehetővé kell tenni, hogy iránymutatásokat adjon ki különösen azokra a szempontokra vonatkozóan, amelyeket figyelembe kell venni ahhoz, hogy meg lehessen győződni arról, hogy a szóban forgó adatkezelés egynél több tagállamban érint-e jelentős mértékben érintetteket, valamint arra vonatkozóan, hogy mi tekintendő releváns és megalapozott kifogásnak.

| (125) | Az e rendelettel összhangban rá ruházott hatáskörökkel élve, az intézkedésekre vonatkozó kötelező erejű döntések elfogadására a fő hatóság illetékes. A fő hatóságként eljáró felügyeleti hatóság a döntéshozatali folyamatba szorosan az érintett felügyeleti hatóságokat, és e folyamat során azokkal koordinál. Az érintett által benyújtott panasz részben vagy egészben történő elutasítására vonatkozó döntések esetében a döntést az a felügyeleti hatóság hozza meg, amelyhez a panaszt benyújtották. |
| --- | --- |

(125)

Az e rendelettel összhangban rá ruházott hatáskörökkel élve, az intézkedésekre vonatkozó kötelező erejű döntések elfogadására a fő hatóság illetékes. A fő hatóságként eljáró felügyeleti hatóság a döntéshozatali folyamatba szorosan az érintett felügyeleti hatóságokat, és e folyamat során azokkal koordinál. Az érintett által benyújtott panasz részben vagy egészben történő elutasítására vonatkozó döntések esetében a döntést az a felügyeleti hatóság hozza meg, amelyhez a panaszt benyújtották.

| (126) | A fő felügyeleti hatóság és az érintett felügyeleti hatóságok együttesen állapodnak meg a döntésről, amely az adatkezelő vagy az adatfeldolgozó tevékenységi központjára vagy egyetlen tevékenységi helyére irányul, és amely az adatkezelőre és az adatfeldolgozóra nézve kötelezőnek kell lennie. Az adatkezelő vagy az adatfeldolgozó megteszi az ahhoz szükséges intézkedéseket, hogy biztosítsa az e rendeletnek való megfelelést és azt, hogy a fő felügyeleti hatóság által az adatkezelő vagy az adatfeldolgozó tevékenységi központjának megküldött döntést az Unión belüli kezelési tevékenységek tekintetében végrehajtsák. |
| --- | --- |

(126)

A fő felügyeleti hatóság és az érintett felügyeleti hatóságok együttesen állapodnak meg a döntésről, amely az adatkezelő vagy az adatfeldolgozó tevékenységi központjára vagy egyetlen tevékenységi helyére irányul, és amely az adatkezelőre és az adatfeldolgozóra nézve kötelezőnek kell lennie. Az adatkezelő vagy az adatfeldolgozó megteszi az ahhoz szükséges intézkedéseket, hogy biztosítsa az e rendeletnek való megfelelést és azt, hogy a fő felügyeleti hatóság által az adatkezelő vagy az adatfeldolgozó tevékenységi központjának megküldött döntést az Unión belüli kezelési tevékenységek tekintetében végrehajtsák.

| (127) | A nem fő felügyeleti hatóságként eljáró egyes felügyeleti hatóságok illetékesek helyi ügyekben abban az esetben, ha az adatkezelő vagy az adatfeldolgozó ugyan egynél több tagállamban rendelkezik tevékenységi hellyel, azonban a konkrét adatkezelés tárgya csak egyetlen tagállamban végzett adatkezelésre vonatkozik, és csak abban az egyetlen tagállamban élő érintettekre irányul, például ha a személyes adatok kezelésének tárgya a munkavállalói adatoknak konkrét foglalkoztatással összefüggő kezelése egy adott tagállamban. Ilyen esetekben a felügyeleti hatóság az ügyről a fő felügyeleti hatóságot haladéktalanul tájékoztatja. A tájékoztatás kézhezvételét követően a fő felügyeleti hatóság eldönti, hogy eljár-e az ügyben a fő felügyeleti hatóság és a más érintett felügyeleti hatóság közötti együttműködésre vonatkozó rendelkezésnek megfelelően („egységességi mechanizmus”), vagy pedig az ügyben a helyi szinten a tájékoztatást adó felügyeleti hatóság járjon el. Amikor döntést hoz arról, hogy maga jár el az ügyben, a fő felügyeleti hatóság figyelembe veszi, hogy az adatkezelő vagy az adatfeldolgozó rendelkezik-e tevékenységi hellyel az őt tájékoztató felügyeleti hatóság tagállamában, annak biztosítása érdekében, hogy a döntést hatékonyan végre lehessen hajtani az adatkezelővel vagy az adatfeldolgozóval szemben. Ha a fő felügyeleti hatóság úgy dönt, hogy eljár az ügyben, az őt tájékoztató felügyeleti hatóság számára lehetővé kell tenni, hogy benyújtson egy döntéstervezetet, amelyet a fő felügyeleti hatóság a legmesszebbmenőkig figyelembe vesz akkor, amikor az együttműködés és az egységességi mechanizmus keretén belül saját döntéstervezetét megszövegezi. |
| --- | --- |

(127)

A nem fő felügyeleti hatóságként eljáró egyes felügyeleti hatóságok illetékesek helyi ügyekben abban az esetben, ha az adatkezelő vagy az adatfeldolgozó ugyan egynél több tagállamban rendelkezik tevékenységi hellyel, azonban a konkrét adatkezelés tárgya csak egyetlen tagállamban végzett adatkezelésre vonatkozik, és csak abban az egyetlen tagállamban élő érintettekre irányul, például ha a személyes adatok kezelésének tárgya a munkavállalói adatoknak konkrét foglalkoztatással összefüggő kezelése egy adott tagállamban. Ilyen esetekben a felügyeleti hatóság az ügyről a fő felügyeleti hatóságot haladéktalanul tájékoztatja. A tájékoztatás kézhezvételét követően a fő felügyeleti hatóság eldönti, hogy eljár-e az ügyben a fő felügyeleti hatóság és a más érintett felügyeleti hatóság közötti együttműködésre vonatkozó rendelkezésnek megfelelően („egységességi mechanizmus”), vagy pedig az ügyben a helyi szinten a tájékoztatást adó felügyeleti hatóság járjon el. Amikor döntést hoz arról, hogy maga jár el az ügyben, a fő felügyeleti hatóság figyelembe veszi, hogy az adatkezelő vagy az adatfeldolgozó rendelkezik-e tevékenységi hellyel az őt tájékoztató felügyeleti hatóság tagállamában, annak biztosítása érdekében, hogy a döntést hatékonyan végre lehessen hajtani az adatkezelővel vagy az adatfeldolgozóval szemben. Ha a fő felügyeleti hatóság úgy dönt, hogy eljár az ügyben, az őt tájékoztató felügyeleti hatóság számára lehetővé kell tenni, hogy benyújtson egy döntéstervezetet, amelyet a fő felügyeleti hatóság a legmesszebbmenőkig figyelembe vesz akkor, amikor az együttműködés és az egységességi mechanizmus keretén belül saját döntéstervezetét megszövegezi.

| (128) | A fő felügyeleti hatóságra és az együttműködést és egységességi mechanizmusra vonatkozó szabályokat nem lehet alkalmazni abban az esetben, ha az adatkezelést közhatalmi szervek vagy közérdekből eljáró magánfél szervezetek végzik. Ilyen esetben kizárólag az a felügyeleti hatóság lehet illetékes az e rendelettel összhangban rá ruházott hatáskörök gyakorlására, amely annak a tagállamnak a felügyeleti hatósága, ahol az adott közhatalmi szerv vagy magánfél szerv székhelye található. |
| --- | --- |

(128)

A fő felügyeleti hatóságra és az együttműködést és egységességi mechanizmusra vonatkozó szabályokat nem lehet alkalmazni abban az esetben, ha az adatkezelést közhatalmi szervek vagy közérdekből eljáró magánfél szervezetek végzik. Ilyen esetben kizárólag az a felügyeleti hatóság lehet illetékes az e rendelettel összhangban rá ruházott hatáskörök gyakorlására, amely annak a tagállamnak a felügyeleti hatósága, ahol az adott közhatalmi szerv vagy magánfél szerv székhelye található.

| (129) | E rendelet Unió-szerte következetes végrehajtásának és e végrehajtás következetes nyomon követésének biztosítása érdekében a felügyeleti hatóságokat minden tagállamban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni, ideértve a vizsgálati hatáskört, a korrekciós és szankciós hatáskört és a szankciókat, valamint az engedélyezési és a tanácsadási hatáskört, különösen a természetes személyek panaszaival kapcsolatos ügyekben, továbbá – az ügyészi hatóságok tagállami jog szerinti hatásköreinek sérelme nélkül – az arra vonatkozó hatáskört, hogy e rendelet megsértése esetén az igazságügyi hatóságokhoz forduljanak, és bírósági eljárást kezdeményezzenek. E hatáskörök magukban foglalják az adatkezelés átmeneti vagy végleges korlátozását, ideértve az adatkezelés tilalmának elrendelésére vonatkozó jogosultságot. A személyes adatok e rendelet szerinti védelmével kapcsolatos egyéb feladatokat a tagállamok is meghatározhatnak. A felügyeleti hatóságok hatásköreiket az uniós és a tagállami jogban foglalt megfelelő eljárási garanciáknak megfelelően, pártatlanul, tisztességesen és észszerű határidőn belül gyakorolják. Különösen, az e rendeletnek való megfelelés biztosítása érdekében minden egyes intézkedésnek megfelelőnek, szükségesnek és arányosnak kell lennie, és azok kapcsán figyelembe kell venni az adott eset körülményeit, tiszteletben kell tartani azt, hogy minden személynek joga van ahhoz, hogy az őt esetleg hátrányosan érintő egyedi intézkedés meghozatala előtt meghallgassák, továbbá kerülni kell, hogy az intézkedés az érintett személynek felesleges költségeket és túlzott kényelmetlenséget okozzon. A helyiségekbe való belépést illetően a vizsgálati hatáskört a vonatkozó tagállami eljárásjogban foglalt különös követelményekkel összhangban kell gyakorolni, ilyen például az előzetes bírósági engedély beszerzésének követelménye. A felügyeleti hatóság minden jogilag kötelező erejű intézkedést írásban hozza meg, az intézkedésnek világosnak és egyértelműnek kell lennie, fel kell tüntetni rajta az intézkedést hozó felügyeleti hatóságot, az intézkedés meghozatalának dátumát, a felügyeleti hatóság vezetőjének vagy a hatóság általa felhatalmazott tagjának azt az aláírásával kell ellátnia, az intézkedést indokolni kell és hivatkozni kell benne a hatékony jogorvoslathoz való jogra. Ez nem zárja ki további tagállami eljárásjogi követelmények megállapítását. Az említett jogilag kötelező erejű döntés elfogadása azzal jár, hogy az az adott döntést elfogadó felügyeleti hatóság szerinti tagállamban bírósági felülvizsgálat alá vethető. |
| --- | --- |

(129)

E rendelet Unió-szerte következetes végrehajtásának és e végrehajtás következetes nyomon követésének biztosítása érdekében a felügyeleti hatóságokat minden tagállamban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni, ideértve a vizsgálati hatáskört, a korrekciós és szankciós hatáskört és a szankciókat, valamint az engedélyezési és a tanácsadási hatáskört, különösen a természetes személyek panaszaival kapcsolatos ügyekben, továbbá – az ügyészi hatóságok tagállami jog szerinti hatásköreinek sérelme nélkül – az arra vonatkozó hatáskört, hogy e rendelet megsértése esetén az igazságügyi hatóságokhoz forduljanak, és bírósági eljárást kezdeményezzenek. E hatáskörök magukban foglalják az adatkezelés átmeneti vagy végleges korlátozását, ideértve az adatkezelés tilalmának elrendelésére vonatkozó jogosultságot. A személyes adatok e rendelet szerinti védelmével kapcsolatos egyéb feladatokat a tagállamok is meghatározhatnak. A felügyeleti hatóságok hatásköreiket az uniós és a tagállami jogban foglalt megfelelő eljárási garanciáknak megfelelően, pártatlanul, tisztességesen és észszerű határidőn belül gyakorolják. Különösen, az e rendeletnek való megfelelés biztosítása érdekében minden egyes intézkedésnek megfelelőnek, szükségesnek és arányosnak kell lennie, és azok kapcsán figyelembe kell venni az adott eset körülményeit, tiszteletben kell tartani azt, hogy minden személynek joga van ahhoz, hogy az őt esetleg hátrányosan érintő egyedi intézkedés meghozatala előtt meghallgassák, továbbá kerülni kell, hogy az intézkedés az érintett személynek felesleges költségeket és túlzott kényelmetlenséget okozzon. A helyiségekbe való belépést illetően a vizsgálati hatáskört a vonatkozó tagállami eljárásjogban foglalt különös követelményekkel összhangban kell gyakorolni, ilyen például az előzetes bírósági engedély beszerzésének követelménye. A felügyeleti hatóság minden jogilag kötelező erejű intézkedést írásban hozza meg, az intézkedésnek világosnak és egyértelműnek kell lennie, fel kell tüntetni rajta az intézkedést hozó felügyeleti hatóságot, az intézkedés meghozatalának dátumát, a felügyeleti hatóság vezetőjének vagy a hatóság általa felhatalmazott tagjának azt az aláírásával kell ellátnia, az intézkedést indokolni kell és hivatkozni kell benne a hatékony jogorvoslathoz való jogra. Ez nem zárja ki további tagállami eljárásjogi követelmények megállapítását. Az említett jogilag kötelező erejű döntés elfogadása azzal jár, hogy az az adott döntést elfogadó felügyeleti hatóság szerinti tagállamban bírósági felülvizsgálat alá vethető.

| (130) | Ha a felügyeleti hatóság, amelyhez a panaszt benyújtották, nem a fő felügyeleti hatóság, a fő felügyeleti hatóság e rendeletben az együttműködésre és az összhang biztosítására megállapított rendelkezéseknek megfelelően szorosan együttműködik azzal a felügyeleti hatósággal, amelyhez a panaszt benyújtották. Minden ilyen esetben a fő felügyeleti hatóság minden olyan intézkedés meghozatalakor, amelynek célja valamely joghatás elérése – ideértve a közigazgatási bírságok kiszabását is – a lehető legnagyobb mértékben figyelembe veszi annak a felügyeleti hatóságnak a véleményét, amelyhez a panaszt benyújtották, és amely hatóság a saját tagállama területén lefolytatandó vizsgálat tekinttében illetékes marad, együttműködésben a fő felügyeleti hatósággal. |
| --- | --- |

(130)

Ha a felügyeleti hatóság, amelyhez a panaszt benyújtották, nem a fő felügyeleti hatóság, a fő felügyeleti hatóság e rendeletben az együttműködésre és az összhang biztosítására megállapított rendelkezéseknek megfelelően szorosan együttműködik azzal a felügyeleti hatósággal, amelyhez a panaszt benyújtották. Minden ilyen esetben a fő felügyeleti hatóság minden olyan intézkedés meghozatalakor, amelynek célja valamely joghatás elérése – ideértve a közigazgatási bírságok kiszabását is – a lehető legnagyobb mértékben figyelembe veszi annak a felügyeleti hatóságnak a véleményét, amelyhez a panaszt benyújtották, és amely hatóság a saját tagállama területén lefolytatandó vizsgálat tekinttében illetékes marad, együttműködésben a fő felügyeleti hatósággal.

| (131) | Azokban az ügyekben, amelyekben az adatkezelő vagy az adatfeldolgozó adatkezelési tevékenységei tekintetében egy másik felügyeleti hatóság jár el fő felügyeleti hatóságként, azonban a panasz konkrét tárgya vagy az esetleges jogsértés kizárólag a panasz benyújtásának helye szerinti tagállamban működő adatkezelő vagy adatfeldolgozó adatkezelési tevékenységeit érinti, és az ügy nem érint jelentős mértékben vagy valószínűsíthetően nem érint jelentős mértékben más tagállamokban élő érintetteket, az a felügyeleti hatóság, amelyhez panasz érkezik, vagy amely e rendelet esetleges megsértését eredményező helyzetet észlel vagy arról egyéb módon értesül, az adatkezelővel békés vitarendezésre törekszik, és ennek sikertelensége esetén gyakorolja valamennyi hatáskörét. Ennek ki kell terjednie a felügyeleti hatóság szerinti tagállam területén végzett konkrét adatkezelésre vagy az említett tagállam területén élő érintettekre irányuló konkrét adatkezelésre, az olyan adatkezelésre, amelyet termékeknek vagy szolgáltatásoknak kifejezetten a felügyeleti hatóság szerinti tagállam területén élő érintettek részére történő kínálásával összefüggésben végeznek, vagy amelyet a tagállami jog szerinti vonatkozó jogi kötelezettségeket figyelembe véve kell értékelni. |
| --- | --- |

(131)

Azokban az ügyekben, amelyekben az adatkezelő vagy az adatfeldolgozó adatkezelési tevékenységei tekintetében egy másik felügyeleti hatóság jár el fő felügyeleti hatóságként, azonban a panasz konkrét tárgya vagy az esetleges jogsértés kizárólag a panasz benyújtásának helye szerinti tagállamban működő adatkezelő vagy adatfeldolgozó adatkezelési tevékenységeit érinti, és az ügy nem érint jelentős mértékben vagy valószínűsíthetően nem érint jelentős mértékben más tagállamokban élő érintetteket, az a felügyeleti hatóság, amelyhez panasz érkezik, vagy amely e rendelet esetleges megsértését eredményező helyzetet észlel vagy arról egyéb módon értesül, az adatkezelővel békés vitarendezésre törekszik, és ennek sikertelensége esetén gyakorolja valamennyi hatáskörét. Ennek ki kell terjednie a felügyeleti hatóság szerinti tagállam területén végzett konkrét adatkezelésre vagy az említett tagállam területén élő érintettekre irányuló konkrét adatkezelésre, az olyan adatkezelésre, amelyet termékeknek vagy szolgáltatásoknak kifejezetten a felügyeleti hatóság szerinti tagállam területén élő érintettek részére történő kínálásával összefüggésben végeznek, vagy amelyet a tagállami jog szerinti vonatkozó jogi kötelezettségeket figyelembe véve kell értékelni.

| (132) | A felügyeleti hatóságok által végzett, a nyilvánosságot célzó figyelemfelkeltő tevékenységek magukban foglalnak olyan konkrét intézkedéseket, amelyek az adatkezelőkre és az adatfeldolgozókra – beleértve a mikro-, kis- és középvállalkozásokat is –, valamint különösen oktatási keretek között a természetes személyekre irányulnak. |
| --- | --- |

(132)

A felügyeleti hatóságok által végzett, a nyilvánosságot célzó figyelemfelkeltő tevékenységek magukban foglalnak olyan konkrét intézkedéseket, amelyek az adatkezelőkre és az adatfeldolgozókra – beleértve a mikro-, kis- és középvállalkozásokat is –, valamint különösen oktatási keretek között a természetes személyekre irányulnak.

| (133) | Annak érdekében, hogy e rendelet egységes alkalmazását és végrehajtását a belső piacon biztosítsák, a felügyeleti hatóságok feladataik ellátásában egymást segítik, és egymásnak kölcsönös segítséget nyújtanak. A kölcsönös segítségnyújtást kezdeményező felügyeleti hatóság ideiglenes intézkedést fogadhat el, ha a kölcsönös segítségnyújtás iránti megkeresésére a megkeresett felügyeleti hatóságtól a megkeresés kézhezvételétől számított egy hónapon belül nem érkezik válasz. |
| --- | --- |

(133)

Annak érdekében, hogy e rendelet egységes alkalmazását és végrehajtását a belső piacon biztosítsák, a felügyeleti hatóságok feladataik ellátásában egymást segítik, és egymásnak kölcsönös segítséget nyújtanak. A kölcsönös segítségnyújtást kezdeményező felügyeleti hatóság ideiglenes intézkedést fogadhat el, ha a kölcsönös segítségnyújtás iránti megkeresésére a megkeresett felügyeleti hatóságtól a megkeresés kézhezvételétől számított egy hónapon belül nem érkezik válasz.

| (134) | Minden felügyeleti hatóság, indokolt esetben, részt vesz a felügyeleti hatóságok együttes műveleteiben. A megkeresett felügyeleti hatóságot kötelezni kell arra, hogy a megkeresésre meghatározott időn belül választ adjon. |
| --- | --- |

(134)

Minden felügyeleti hatóság, indokolt esetben, részt vesz a felügyeleti hatóságok együttes műveleteiben. A megkeresett felügyeleti hatóságot kötelezni kell arra, hogy a megkeresésre meghatározott időn belül választ adjon.

| (135) | E rendelet Unió-szerte történő egységes alkalmazásának biztosítása érdekében, a felügyeleti hatóságok közötti együttműködést szolgáló egységességi mechanizmust kell létrehozni. Ezt a mechanizmust különösen akkor kell alkalmazni, amikor egy felügyeleti hatóság célja olyan intézkedés elfogadása, amely több tagállamban nagyszámú érintettet jelentős mértékben érintő adatkezelési műveletekre vonatkozóan joghatást ér el. A mechanizmus abban az esetben is alkalmazni kell, ha valamely érintett felügyeleti hatóság vagy a Bizottság kéri egy ilyen ügy egységességi mechanizmus keretében történő kezelését. Az egységességi mechanizmust a Bizottság azon intézkedéseinek sérelme nélkül kell alkalmazni, amelyeket a Szerződések szerinti hatásköreinek gyakorlása keretében tesz. |
| --- | --- |

(135)

E rendelet Unió-szerte történő egységes alkalmazásának biztosítása érdekében, a felügyeleti hatóságok közötti együttműködést szolgáló egységességi mechanizmust kell létrehozni. Ezt a mechanizmust különösen akkor kell alkalmazni, amikor egy felügyeleti hatóság célja olyan intézkedés elfogadása, amely több tagállamban nagyszámú érintettet jelentős mértékben érintő adatkezelési műveletekre vonatkozóan joghatást ér el. A mechanizmus abban az esetben is alkalmazni kell, ha valamely érintett felügyeleti hatóság vagy a Bizottság kéri egy ilyen ügy egységességi mechanizmus keretében történő kezelését. Az egységességi mechanizmust a Bizottság azon intézkedéseinek sérelme nélkül kell alkalmazni, amelyeket a Szerződések szerinti hatásköreinek gyakorlása keretében tesz.

| (136) | Az egységességi mechanizmus alkalmazása keretében a Testület tagjainak többségi döntése alapján, vagy bármely érintett felügyeleti hatóság vagy a Bizottság kérésére meghatározott időn belül véleményt bocsát ki. A Testületet fel kell hatalmazni arra, hogy ha a felügyeleti hatóságok közötti jogviták vannak, jogilag kötelező erejű döntéseket hozzon. E célból – elvben – tagjainak kétharmados többségével jogilag kötelező erejű döntéseket hoz olyan egyértelműen meghatározott esetekben, amelyekben a felügyeleti hatóságok – különösen az együttműködési mechanizmusban a fő felügyeleti hatóság és az érintett felügyeleti hatóság – álláspontjai ellentétesek az adott ügy érdemét, különösen azt illetően, hogy e rendeletet megsértették-e. |
| --- | --- |

(136)

Az egységességi mechanizmus alkalmazása keretében a Testület tagjainak többségi döntése alapján, vagy bármely érintett felügyeleti hatóság vagy a Bizottság kérésére meghatározott időn belül véleményt bocsát ki. A Testületet fel kell hatalmazni arra, hogy ha a felügyeleti hatóságok közötti jogviták vannak, jogilag kötelező erejű döntéseket hozzon. E célból – elvben – tagjainak kétharmados többségével jogilag kötelező erejű döntéseket hoz olyan egyértelműen meghatározott esetekben, amelyekben a felügyeleti hatóságok – különösen az együttműködési mechanizmusban a fő felügyeleti hatóság és az érintett felügyeleti hatóság – álláspontjai ellentétesek az adott ügy érdemét, különösen azt illetően, hogy e rendeletet megsértették-e.

| (137) | Az érintettek jogainak és szabadságainak védelme céljából sürgős intézkedésre is szükség lehet, különösen abban az esetben, amikor fennáll annak a veszélye, hogy az érintett jelentősen akadályoztatva van jogainak gyakorlásában. A felügyeleti hatóság számára ezért lehetővé kell tenni, hogy a tagállamának területére vonatkozóan kellően indokolt ideiglenes intézkedéseket fogadjon el; amely intézkedések érvényessége meghatározott időtartamra, de legfeljebb három hónapra szólhat. |
| --- | --- |

(137)

Az érintettek jogainak és szabadságainak védelme céljából sürgős intézkedésre is szükség lehet, különösen abban az esetben, amikor fennáll annak a veszélye, hogy az érintett jelentősen akadályoztatva van jogainak gyakorlásában. A felügyeleti hatóság számára ezért lehetővé kell tenni, hogy a tagállamának területére vonatkozóan kellően indokolt ideiglenes intézkedéseket fogadjon el; amely intézkedések érvényessége meghatározott időtartamra, de legfeljebb három hónapra szólhat.

| (138) | Az ilyen mechanizmus alkalmazását feltételként kell szabni ahhoz, hogy a felügyeleti hatóság joghatás kiváltására irányuló intézkedése jogszerű legyen azokban az esetekben, amikor a mechanizmus alkalmazása kötelező. Az egyéb határokon átnyúló jelentőségű ügyekben a fő felügyeleti hatóság és az érintett felügyeleti hatóságok közötti együttműködési mechanizmust kell alkalmazni, továbbá az érintett felügyeleti hatóságok anélkül is folytathatnak két- vagy többoldalú kölcsönös segítségnyújtást, illetve közös műveleteket, hogy az egységességi mechanizmust aktiválnák. |
| --- | --- |

(138)

Az ilyen mechanizmus alkalmazását feltételként kell szabni ahhoz, hogy a felügyeleti hatóság joghatás kiváltására irányuló intézkedése jogszerű legyen azokban az esetekben, amikor a mechanizmus alkalmazása kötelező. Az egyéb határokon átnyúló jelentőségű ügyekben a fő felügyeleti hatóság és az érintett felügyeleti hatóságok közötti együttműködési mechanizmust kell alkalmazni, továbbá az érintett felügyeleti hatóságok anélkül is folytathatnak két- vagy többoldalú kölcsönös segítségnyújtást, illetve közös műveleteket, hogy az egységességi mechanizmust aktiválnák.

| (139) | E rendelet egységes alkalmazásának elősegítése érdekében független uniós szervként létre kell hozni a Testületet. Annak érdekében, hogy céljait teljesítése, a Testület jogi személyiséggel rendelkezik. A Testületet az elnök képviseli. A 95/46/EK irányelvvel létrehozott, a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport helyébe a Testület lép. A Testület minden tagállam egy felügyeleti hatóságának vezetőjéből és az európai adatvédelmi biztosból, vagy ezek képviselőiből áll. A Bizottság szavazati jog nélkül, az európai adatvédelmi biztos pedig korlátozott szavazati joggal vesz részt a Testület tevékenységeiben. A Testület az Unió egész területén hozzájárul e rendelet egységes alkalmazásához, ideértve a Bizottság részére történő – különösen a harmadik országokban vagy nemzetközi szervezetek által biztosított védelem szintjével kapcsolatos – tanácsadást és a felügyeleti hatóságok közötti, Unión belüli együttműködés előmozdítását is. A Testület feladatai ellátása során függetlenül jár el. |
| --- | --- |

(139)

E rendelet egységes alkalmazásának elősegítése érdekében független uniós szervként létre kell hozni a Testületet. Annak érdekében, hogy céljait teljesítése, a Testület jogi személyiséggel rendelkezik. A Testületet az elnök képviseli. A 95/46/EK irányelvvel létrehozott, a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport helyébe a Testület lép. A Testület minden tagállam egy felügyeleti hatóságának vezetőjéből és az európai adatvédelmi biztosból, vagy ezek képviselőiből áll. A Bizottság szavazati jog nélkül, az európai adatvédelmi biztos pedig korlátozott szavazati joggal vesz részt a Testület tevékenységeiben. A Testület az Unió egész területén hozzájárul e rendelet egységes alkalmazásához, ideértve a Bizottság részére történő – különösen a harmadik országokban vagy nemzetközi szervezetek által biztosított védelem szintjével kapcsolatos – tanácsadást és a felügyeleti hatóságok közötti, Unión belüli együttműködés előmozdítását is. A Testület feladatai ellátása során függetlenül jár el.

| (140) | A Testületet az európai adatvédelmi biztos által biztosított titkárság segíti. Az európai adatvédelmi biztos mellett dolgozó alkalmazottak, akik az e rendelettel a Testületre ruházott feladatokat végeznek, feladataik elvégzése tekintetében kizárólag a Testület elnökének utasításai alapján járhatnak el, és kizárólag neki tartoznak felelősséggel. |
| --- | --- |

(140)

A Testületet az európai adatvédelmi biztos által biztosított titkárság segíti. Az európai adatvédelmi biztos mellett dolgozó alkalmazottak, akik az e rendelettel a Testületre ruházott feladatokat végeznek, feladataik elvégzése tekintetében kizárólag a Testület elnökének utasításai alapján járhatnak el, és kizárólag neki tartoznak felelősséggel.

| (141) | Minden érintett jogosult arra, hogy panaszt tegyen egy – különösen a szokásos tartózkodási helye szerinti tagállambeli – felügyeleti hatóságnál, és a Charta 47. cikkével összhangban hatékony bírósági jogorvoslattal éljen, ha az úgy ítéli meg, hogy az e rendelet alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges lenne. A panasz benyújtását követően – a konkrét esethez szükséges mértékben – vizsgálatot kell lefolytatni, amely bírósági felülvizsgálat tárgyát képezheti. A felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panaszhoz fűződő fejleményekről és eredményekről. Ha az ügy további vizsgálatot vagy egy másik felügyeleti hatósággal való együttműködést tesz szükségessé, az érintettet időközben tájékoztatni kell. A panaszok benyújtásának megkönnyítése érdekében mindegyik felügyeleti hatóság intézkedéseket tesz, például olyan panasztételi formanyomtatványt biztosít, amely elektronikus úton is kitölthető, nem zárva ki azonban más kommunikációs eszközök alkalmazását sem. |
| --- | --- |

(141)

Minden érintett jogosult arra, hogy panaszt tegyen egy – különösen a szokásos tartózkodási helye szerinti tagállambeli – felügyeleti hatóságnál, és a Charta 47. cikkével összhangban hatékony bírósági jogorvoslattal éljen, ha az úgy ítéli meg, hogy az e rendelet alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges lenne. A panasz benyújtását követően – a konkrét esethez szükséges mértékben – vizsgálatot kell lefolytatni, amely bírósági felülvizsgálat tárgyát képezheti. A felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panaszhoz fűződő fejleményekről és eredményekről. Ha az ügy további vizsgálatot vagy egy másik felügyeleti hatósággal való együttműködést tesz szükségessé, az érintettet időközben tájékoztatni kell. A panaszok benyújtásának megkönnyítése érdekében mindegyik felügyeleti hatóság intézkedéseket tesz, például olyan panasztételi formanyomtatványt biztosít, amely elektronikus úton is kitölthető, nem zárva ki azonban más kommunikációs eszközök alkalmazását sem.

| (142) | Ha az érintett úgy ítéli meg, hogy az ezen rendelet értelmében fennálló jogait megsértették, jogában áll megbízni egy, a személyes adatok védelmével foglalkozó, az alapszabályában rögzített közérdekű célokat szolgáló, a tagállami jognak megfelelően létrehozott nonprofit szervet, szervezetet vagy egyesületet, hogy a nevében eljárva panaszt nyújtson be valamely felügyeleti hatóságnál, gyakorolja a bírósági jogorvoslathoz való jogot, illetve gyakorolja a kártérítéshez való jogot, ha ez utóbbit a tagállami jog biztosítja. A tagállam rendelkezhet arról, hogy az adott tagállamban ilyen szerv, szervezet vagy egyesület jogosult arra, hogy az érintett megbízásától függetlenül ebben a tagállamban panaszt nyújtson be és hatékony bírósági jogorvoslattal élhessen, ha alapos okkal úgy véli, hogy az érintett jogai sérültek annak következtében, hogy személyes adataik kezelése e rendelet megsértésével történt. Ez a szerv, szervezet vagy egyesület nem jogosult, hogy az érintett nevében, annak megbízásától függetlenül kártérítést igényeljen. |
| --- | --- |

(142)

Ha az érintett úgy ítéli meg, hogy az ezen rendelet értelmében fennálló jogait megsértették, jogában áll megbízni egy, a személyes adatok védelmével foglalkozó, az alapszabályában rögzített közérdekű célokat szolgáló, a tagállami jognak megfelelően létrehozott nonprofit szervet, szervezetet vagy egyesületet, hogy a nevében eljárva panaszt nyújtson be valamely felügyeleti hatóságnál, gyakorolja a bírósági jogorvoslathoz való jogot, illetve gyakorolja a kártérítéshez való jogot, ha ez utóbbit a tagállami jog biztosítja. A tagállam rendelkezhet arról, hogy az adott tagállamban ilyen szerv, szervezet vagy egyesület jogosult arra, hogy az érintett megbízásától függetlenül ebben a tagállamban panaszt nyújtson be és hatékony bírósági jogorvoslattal élhessen, ha alapos okkal úgy véli, hogy az érintett jogai sérültek annak következtében, hogy személyes adataik kezelése e rendelet megsértésével történt. Ez a szerv, szervezet vagy egyesület nem jogosult, hogy az érintett nevében, annak megbízásától függetlenül kártérítést igényeljen.

| (143) | Minden természetes vagy jogi személy jogosult, hogy az EUMSZ 263. cikkében meghatározott feltételek szerint eljárást indítson a Bíróságon a Testület döntéseinek megsemmisítése iránt. Azok az érintett felügyeleti hatóságok, amelyek e döntések címzettjeiként fellebbezni kívánnak azok ellen, az EUMSZ 263. cikkének megfelelően a döntésről való értesítésüket követő két hónapon belül indítják meg keresetüket. Ha a Testület döntései közvetlenül és egyénileg érintenek valamely adatkezelőt, adatfeldolgozót vagy a panaszost, a panaszos az EUMSZ 263. cikkének megfelelően eljárást indíthat az adott döntések megsemmisítése iránt, mégpedig azoknak a Testület honlapján való közzététele dátumától számított két hónapon belül. Az EUMSZ 263. cikkében biztosított e jog sérelme nélkül, minden természetes vagy jogi személy számára biztosítani kell, hogy egy valamely felügyeleti hatóság által hozott és a szóban forgó személyre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróságnál. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal a hatékony bírósági jogorvoslathoz való jog nem vonatkozik a felügyeleti hatóságok által tett, jogilag kötelező erővel nem bíró intézkedéseikre, például a felügyeleti hatóság által kibocsátott véleményekre vagy az általa nyújtott tanácsra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást az érintett tagállam eljárásjoga szerint kell lefolytatni. Az említett bíróság teljes körű joghatósággal rendelkezik, amely magában foglalja az általa tárgyalt jogvita szempontjából releváns összes ténybeli és jogi kérdés vizsgálata tekintetében fennálló joghatóságot is.
  Ha valamely felügyeleti hatóság elutasított vagy megalapozatlannak talált egy panaszt, a panaszos ugyanazon tagállam bírósága előtt eljárást indíthat. Az e rendelet alkalmazásával kapcsolatos bírósági jogorvoslatok összefüggésében azok a tagállami bíróságok, amelyek úgy ítélik meg, hogy az ítélethozatalhoz az adott kérdéssel kapcsolatos előzetes döntésre van szükség, kérhetik, illetve az EUMSZ 267. cikkében meghatározott esetben kérniük kell a Bíróságot, hogy az e rendeletet is magában foglaló uniós jog értelmezéséről hozzon előzetes döntést. Ezenkívül, ha valamely felügyeleti hatóság a Testület döntését végrehajtó döntésével szemben olyan keresetet indítanak valamelyik tagállami bíróság előtt, amelynek a tárgya a Testület döntésének az érvényessége, a szóban forgó tagállami bíróság nem rendelkezik hatáskörrel arra, hogy érvénytelennek nyilvánítsa a Testület döntését, hanem az érvényesség kérdését a Bíróság elé utalja az EUMSZ Bíróság által értelmezett 267. cikkének megfelelően, amennyiben véleménye szerint a döntés érvénytelen. A tagállami bíróságok azonban nem utalhatnak a Bíróság elé a Testület döntésének az érvényességével kapcsolatos kérdést olyan természetes vagy jogi személy kérelmére, akinek volt lehetősége az adott döntés megsemmisítése iránti keresetet indítani, ám elmulasztotta azt megtenni az EUMSZ 263. cikkében megállapított határidőn belül, különösen, ha a szóban forgó személyt a döntés közvetlenül és egyénileg érinti. |
| --- | --- |

(143)

Minden természetes vagy jogi személy jogosult, hogy az EUMSZ 263. cikkében meghatározott feltételek szerint eljárást indítson a Bíróságon a Testület döntéseinek megsemmisítése iránt. Azok az érintett felügyeleti hatóságok, amelyek e döntések címzettjeiként fellebbezni kívánnak azok ellen, az EUMSZ 263. cikkének megfelelően a döntésről való értesítésüket követő két hónapon belül indítják meg keresetüket. Ha a Testület döntései közvetlenül és egyénileg érintenek valamely adatkezelőt, adatfeldolgozót vagy a panaszost, a panaszos az EUMSZ 263. cikkének megfelelően eljárást indíthat az adott döntések megsemmisítése iránt, mégpedig azoknak a Testület honlapján való közzététele dátumától számított két hónapon belül. Az EUMSZ 263. cikkében biztosított e jog sérelme nélkül, minden természetes vagy jogi személy számára biztosítani kell, hogy egy valamely felügyeleti hatóság által hozott és a szóban forgó személyre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróságnál. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal a hatékony bírósági jogorvoslathoz való jog nem vonatkozik a felügyeleti hatóságok által tett, jogilag kötelező erővel nem bíró intézkedéseikre, például a felügyeleti hatóság által kibocsátott véleményekre vagy az általa nyújtott tanácsra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást az érintett tagállam eljárásjoga szerint kell lefolytatni. Az említett bíróság teljes körű joghatósággal rendelkezik, amely magában foglalja az általa tárgyalt jogvita szempontjából releváns összes ténybeli és jogi kérdés vizsgálata tekintetében fennálló joghatóságot is.

Ha valamely felügyeleti hatóság elutasított vagy megalapozatlannak talált egy panaszt, a panaszos ugyanazon tagállam bírósága előtt eljárást indíthat. Az e rendelet alkalmazásával kapcsolatos bírósági jogorvoslatok összefüggésében azok a tagállami bíróságok, amelyek úgy ítélik meg, hogy az ítélethozatalhoz az adott kérdéssel kapcsolatos előzetes döntésre van szükség, kérhetik, illetve az EUMSZ 267. cikkében meghatározott esetben kérniük kell a Bíróságot, hogy az e rendeletet is magában foglaló uniós jog értelmezéséről hozzon előzetes döntést. Ezenkívül, ha valamely felügyeleti hatóság a Testület döntését végrehajtó döntésével szemben olyan keresetet indítanak valamelyik tagállami bíróság előtt, amelynek a tárgya a Testület döntésének az érvényessége, a szóban forgó tagállami bíróság nem rendelkezik hatáskörrel arra, hogy érvénytelennek nyilvánítsa a Testület döntését, hanem az érvényesség kérdését a Bíróság elé utalja az EUMSZ Bíróság által értelmezett 267. cikkének megfelelően, amennyiben véleménye szerint a döntés érvénytelen. A tagállami bíróságok azonban nem utalhatnak a Bíróság elé a Testület döntésének az érvényességével kapcsolatos kérdést olyan természetes vagy jogi személy kérelmére, akinek volt lehetősége az adott döntés megsemmisítése iránti keresetet indítani, ám elmulasztotta azt megtenni az EUMSZ 263. cikkében megállapított határidőn belül, különösen, ha a szóban forgó személyt a döntés közvetlenül és egyénileg érinti.

| (144) | Ha egy olyan bíróság, amely előtt eljárást indítottak valamely felügyeleti hatóság által hozott döntéssel szemben, okkal feltételezheti, hogy ugyanazon adatkezelésre vonatkozóan – például ha ugyanazon adatkezelő vagy adatfeldolgozó adatkezelése esetében megegyezik a tárgy, illetve ha megegyezik a jogalap – már eljárás indult valamely más tagállam illetékes bírósága előtt, annak érdekében, hogy meggyőződjön ezeknek az összefüggő eljárásoknak a létezéséről, ez utóbbi bírósággal felveszi a kapcsolatot. Ha valamely más tagállam bírósága előtt összefüggő eljárások vannak folyamatban, valamennyi olyan bíróságnak, amely előtt az eljárás később indult meg, felfüggesztheti az eljárását, vagy valamelyik fél megkeresésére a joghatóságának hiányát állapíthatja meg annak a bíróságnak javára, amely előtt elsőként indult meg az eljárás, ha ez utóbbi bíróságnak van joghatósága a szóban forgó eljárások tekintetében és az adott tagállam joga lehetővé teszi az összefüggő eljárások összevonását. Az eljárások akkor tekintendők összefüggőnek, ha közöttük olyan szoros kapcsolatáll fenn, hogy a külön eljárásokban hozott, egymásnak ellentmondó ítéletek elkerülése érdekében célszerű azokat együttesen tárgyalni és róluk együtt határozatot hozni. |
| --- | --- |

(144)

Ha egy olyan bíróság, amely előtt eljárást indítottak valamely felügyeleti hatóság által hozott döntéssel szemben, okkal feltételezheti, hogy ugyanazon adatkezelésre vonatkozóan – például ha ugyanazon adatkezelő vagy adatfeldolgozó adatkezelése esetében megegyezik a tárgy, illetve ha megegyezik a jogalap – már eljárás indult valamely más tagállam illetékes bírósága előtt, annak érdekében, hogy meggyőződjön ezeknek az összefüggő eljárásoknak a létezéséről, ez utóbbi bírósággal felveszi a kapcsolatot. Ha valamely más tagállam bírósága előtt összefüggő eljárások vannak folyamatban, valamennyi olyan bíróságnak, amely előtt az eljárás később indult meg, felfüggesztheti az eljárását, vagy valamelyik fél megkeresésére a joghatóságának hiányát állapíthatja meg annak a bíróságnak javára, amely előtt elsőként indult meg az eljárás, ha ez utóbbi bíróságnak van joghatósága a szóban forgó eljárások tekintetében és az adott tagállam joga lehetővé teszi az összefüggő eljárások összevonását. Az eljárások akkor tekintendők összefüggőnek, ha közöttük olyan szoros kapcsolatáll fenn, hogy a külön eljárásokban hozott, egymásnak ellentmondó ítéletek elkerülése érdekében célszerű azokat együttesen tárgyalni és róluk együtt határozatot hozni.

| (145) | Az adatkezelő vagy adatfeldolgozó elleni eljárást illetően a felperes számára lehetővé kell tenni, hogy eldöntse, hogy az eljárást annak a tagállamnak a bírósága előtt indítja-e meg, ahol az adatkezelő vagy adatfeldolgozó tevékenységi hellyel rendelkezik, vagy pedig az érintett tartózkodási helye szerinti tagállam bírósága előtt, kivéve, ha az adatkezelő valamely tagállam közhatalmi jogosítványait gyakorolva eljáró közhatalmi szervének minősül. |
| --- | --- |

(145)

Az adatkezelő vagy adatfeldolgozó elleni eljárást illetően a felperes számára lehetővé kell tenni, hogy eldöntse, hogy az eljárást annak a tagállamnak a bírósága előtt indítja-e meg, ahol az adatkezelő vagy adatfeldolgozó tevékenységi hellyel rendelkezik, vagy pedig az érintett tartózkodási helye szerinti tagállam bírósága előtt, kivéve, ha az adatkezelő valamely tagállam közhatalmi jogosítványait gyakorolva eljáró közhatalmi szervének minősül.

| (146) | Az adatkezelő vagy az adatfeldolgozó az e rendeletet sértő adatkezelés miatt okozott kárt köteles megtéríteni. Az adatkezelőt vagy az adatfeldolgozót a kártérítési kötelezettség alól abban az esetben mentesíteni kell, ha bizonyítja, hogy a kár bekövetkeztéért őt semmilyen felelősség nem terheli. A kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze e rendelet célkitűzéseit. Ez nem érinti a más uniós vagy tagállami jog megsértéséből eredő károkkal kapcsolatos esetleges kártérítési igényeket. Az e rendeletet sértő adatkezelés magában foglalja az e rendelettel összhangban elfogadott, felhatalmazáson alapuló jogi aktusokat és végrehajtási jogi aktusokat, valamint az e rendeletben foglalt szabályokat pontosító tagállami jogot sértő adatkezelést is. Az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg. Ha egy adatkezelésben több adatkezelő, illetve adatfeldolgozó vesz részt, akkor minden egyes adatkezelő vagy adatfeldolgozó egyetemleges felelősséggel tartozik a teljes kárért. Ha azonban az érintett adatkezelőket a tagállami jognak megfelelően bevonják ugyanabba az eljárásba, a kártérítési kötelezettség megosztható az egyes adatkezelők, illetve adatfeldolgozók között az általuk okozott kár arányában, feltéve hogy így is biztosított marad, hogy az érintettet ért kárt teljes mértékben és ténylegesen megtérítik. Azok az adatkezelők vagy adatfeldolgozók, akik teljes kártérítést fizettek, ezt követően viszontkereseti eljárást indíthatnak az ugyanazon adatkezelésben részt vevő más adatkezelőkkel vagy adatfeldolgozókkal szemben. |
| --- | --- |

(146)

Az adatkezelő vagy az adatfeldolgozó az e rendeletet sértő adatkezelés miatt okozott kárt köteles megtéríteni. Az adatkezelőt vagy az adatfeldolgozót a kártérítési kötelezettség alól abban az esetben mentesíteni kell, ha bizonyítja, hogy a kár bekövetkeztéért őt semmilyen felelősség nem terheli. A kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze e rendelet célkitűzéseit. Ez nem érinti a más uniós vagy tagállami jog megsértéséből eredő károkkal kapcsolatos esetleges kártérítési igényeket. Az e rendeletet sértő adatkezelés magában foglalja az e rendelettel összhangban elfogadott, felhatalmazáson alapuló jogi aktusokat és végrehajtási jogi aktusokat, valamint az e rendeletben foglalt szabályokat pontosító tagállami jogot sértő adatkezelést is. Az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg. Ha egy adatkezelésben több adatkezelő, illetve adatfeldolgozó vesz részt, akkor minden egyes adatkezelő vagy adatfeldolgozó egyetemleges felelősséggel tartozik a teljes kárért. Ha azonban az érintett adatkezelőket a tagállami jognak megfelelően bevonják ugyanabba az eljárásba, a kártérítési kötelezettség megosztható az egyes adatkezelők, illetve adatfeldolgozók között az általuk okozott kár arányában, feltéve hogy így is biztosított marad, hogy az érintettet ért kárt teljes mértékben és ténylegesen megtérítik. Azok az adatkezelők vagy adatfeldolgozók, akik teljes kártérítést fizettek, ezt követően viszontkereseti eljárást indíthatnak az ugyanazon adatkezelésben részt vevő más adatkezelőkkel vagy adatfeldolgozókkal szemben.

| (147) | Ha e rendelet egyedi szabályokat állapít meg a joghatósággal kapcsolatban, különösen a valamely adatkezelővel vagy adatfeldolgozóval szembeni bírósági jogorvoslat – például kártérítés – céljából indított eljárások tekintetében, az általános joghatósági szabályok – például az 1215/2012/EU európai parlamenti és tanácsi rendeletben (13) foglalt szabályoknak – ezen egyedi szabályok alkalmazását nem befolyásolhatják. |
| --- | --- |

(147)

Ha e rendelet egyedi szabályokat állapít meg a joghatósággal kapcsolatban, különösen a valamely adatkezelővel vagy adatfeldolgozóval szembeni bírósági jogorvoslat – például kártérítés – céljából indított eljárások tekintetében, az általános joghatósági szabályok – például az 1215/2012/EU európai parlamenti és tanácsi rendeletben (13) foglalt szabályoknak – ezen egyedi szabályok alkalmazását nem befolyásolhatják.

| (148) | Az e rendelet által előírt szabályok betartatásának erősítése érdekében e rendelet bármely megsértése esetén a felügyeleti hatóság által e rendelet alapján előírt megfelelő intézkedéseken felül vagy azok helyett szankciókat – ideértve a közigazgatási bírságokat is – kell kiszabni. E rendelet kisebb megsértése esetén, illetve ha a valószínűsíthetően kiszabásra kerülő bírság egy természetes személy számára aránytalan terhet jelentene, a bírság helyett megrovás is alkalmazható. Kellő figyelmet kell azonban fordítani a jogsértés természetére, súlyosságára, időtartamára, szándékos jellegére és arra, hogy tettek-e intézkedéseket az elszenvedett kár mértékének csökkentésére, továbbá a felelősség mértékére, a korábban e téren elkövetett jogsértésekre, arra, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, valamint arra, hogy az adatkezelő vagy adatfeldolgozó betartja-e a vele szemben elrendelt intézkedéseket és hogy alkalmaz-e valamely magatartási kódexet, valamint minden egyéb súlyosbító vagy enyhítő körülményre. A szankciók – ideértve a közigazgatási bírságok – kiszabására az uniós jog és a Charta általános elveivel összhangban megfelelő eljárási garanciákat – ideértve hatékony jogvédelmet és a tisztességes eljáráshoz való jogot – kell alkalmazni. |
| --- | --- |

(148)

Az e rendelet által előírt szabályok betartatásának erősítése érdekében e rendelet bármely megsértése esetén a felügyeleti hatóság által e rendelet alapján előírt megfelelő intézkedéseken felül vagy azok helyett szankciókat – ideértve a közigazgatási bírságokat is – kell kiszabni. E rendelet kisebb megsértése esetén, illetve ha a valószínűsíthetően kiszabásra kerülő bírság egy természetes személy számára aránytalan terhet jelentene, a bírság helyett megrovás is alkalmazható. Kellő figyelmet kell azonban fordítani a jogsértés természetére, súlyosságára, időtartamára, szándékos jellegére és arra, hogy tettek-e intézkedéseket az elszenvedett kár mértékének csökkentésére, továbbá a felelősség mértékére, a korábban e téren elkövetett jogsértésekre, arra, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, valamint arra, hogy az adatkezelő vagy adatfeldolgozó betartja-e a vele szemben elrendelt intézkedéseket és hogy alkalmaz-e valamely magatartási kódexet, valamint minden egyéb súlyosbító vagy enyhítő körülményre. A szankciók – ideértve a közigazgatási bírságok – kiszabására az uniós jog és a Charta általános elveivel összhangban megfelelő eljárási garanciákat – ideértve hatékony jogvédelmet és a tisztességes eljáráshoz való jogot – kell alkalmazni.

| (149) | A tagállamok megállapíthatják az e rendelet megsértése – így ideértve az e rendelet alapján és általa szabott korlátokon belül elfogadott nemzeti szabályok megsértése – esetén alkalmazandó büntetőjogi szankciókra vonatkozó szabályokat. E büntetőjogi szankciók lehetővé tehetik például az e rendelet megsértése révén szerzett vagyoni előny elvonását. Az ilyen tagállami szabályok megsértésére vonatkozó büntetőjogi szankciók, illetve közigazgatási szankciók kiszabása azonban nem eredményezheti a Bíróság értelmezése szerinti ne bis in idem elv megsértését. |
| --- | --- |

(149)

A tagállamok megállapíthatják az e rendelet megsértése – így ideértve az e rendelet alapján és általa szabott korlátokon belül elfogadott nemzeti szabályok megsértése – esetén alkalmazandó büntetőjogi szankciókra vonatkozó szabályokat. E büntetőjogi szankciók lehetővé tehetik például az e rendelet megsértése révén szerzett vagyoni előny elvonását. Az ilyen tagállami szabályok megsértésére vonatkozó büntetőjogi szankciók, illetve közigazgatási szankciók kiszabása azonban nem eredményezheti a Bíróság értelmezése szerinti ne bis in idem elv megsértését.

| (150) | Az e rendelet megsértése esetén alkalmazott közigazgatási szankciók szigorítása és harmonizálása érdekében minden felügyeleti hatóság hatáskörrel rendelkezik a közigazgatási bírság kiszabására. E rendeletben kell meghatározni a jogsértéseket, valamint a kapcsolódó közigazgatási bírságok összegének felső határát és azok megállapításának szempontjait; a közigazgatási bírságot az egyes esetekben az illetékes felügyeleti hatóság állapítja meg a konkrét helyzet valamennyi releváns körülményét figyelembe véve, és kellő figyelmet fordítva különösen a jogsértés természetére, súlyosságára és időtartamára, továbbá a jogsértés következményeire, valamint az e rendelet szerinti kötelezettségek teljesítésének biztosítása és a jogsértés következményeinek megelőzése vagy enyhítése érdekében tett intézkedésekre. Ha a közigazgatási bírságokat vállalkozásokra szabják ki, akkor a vállalkozás fogalmát e célból az EUMSZ 101. és 102. cikkében meghatározott vállalkozásokra vonatkozó szabályoknak megfelelően kell értelmezni. Ha a közigazgatási bírságokat vállalkozásoktól eltérő személyekre szabják ki, a felügyeleti hatóság a bírság megfelelő összegének meghatározása során figyelembe veszi a jövedelmek általános szintjét az adott tagállamban, valamint az adott személy gazdasági helyzetét. Az egységességi mechanizmus a közigazgatási bírságok összehangolt alkalmazásának előmozdítására is felhasználható. A tagállamokra kell bízni annak eldöntését, hogy a közhatalmi szervekkel szemben alkalmazható legyen-e közigazgatási bírság, és ha igen, milyen mértékben. A közigazgatási bírság kiszabása vagy a megrovás nem érinti a felügyeleti hatóságok egyéb hatásköreinek vagy az e rendelet szerinti egyéb szankcióknak az alkalmazását. |
| --- | --- |

(150)

Az e rendelet megsértése esetén alkalmazott közigazgatási szankciók szigorítása és harmonizálása érdekében minden felügyeleti hatóság hatáskörrel rendelkezik a közigazgatási bírság kiszabására. E rendeletben kell meghatározni a jogsértéseket, valamint a kapcsolódó közigazgatási bírságok összegének felső határát és azok megállapításának szempontjait; a közigazgatási bírságot az egyes esetekben az illetékes felügyeleti hatóság állapítja meg a konkrét helyzet valamennyi releváns körülményét figyelembe véve, és kellő figyelmet fordítva különösen a jogsértés természetére, súlyosságára és időtartamára, továbbá a jogsértés következményeire, valamint az e rendelet szerinti kötelezettségek teljesítésének biztosítása és a jogsértés következményeinek megelőzése vagy enyhítése érdekében tett intézkedésekre. Ha a közigazgatási bírságokat vállalkozásokra szabják ki, akkor a vállalkozás fogalmát e célból az EUMSZ 101. és 102. cikkében meghatározott vállalkozásokra vonatkozó szabályoknak megfelelően kell értelmezni. Ha a közigazgatási bírságokat vállalkozásoktól eltérő személyekre szabják ki, a felügyeleti hatóság a bírság megfelelő összegének meghatározása során figyelembe veszi a jövedelmek általános szintjét az adott tagállamban, valamint az adott személy gazdasági helyzetét. Az egységességi mechanizmus a közigazgatási bírságok összehangolt alkalmazásának előmozdítására is felhasználható. A tagállamokra kell bízni annak eldöntését, hogy a közhatalmi szervekkel szemben alkalmazható legyen-e közigazgatási bírság, és ha igen, milyen mértékben. A közigazgatási bírság kiszabása vagy a megrovás nem érinti a felügyeleti hatóságok egyéb hatásköreinek vagy az e rendelet szerinti egyéb szankcióknak az alkalmazását.

| (151) | Dánia és Észtország jogrendszere nem teszi lehetővé az e rendeletben meghatározott közigazgatási bírságok kiszabását. A közigazgatási bírságokra vonatkozó szabályok Dániában oly módon alkalmazhatók, hogy a bírságot az illetékes nemzeti bíróságok büntetőjogi szankcióként róják ki, Észtországban pedig a felügyeleti hatóság rója ki a bírságot fegyelmi eljárás keretében, feltéve hogy a szabályok ilyen fajta alkalmazása ezekben a tagállamokban a felügyeleti hatóságok által kiszabott közigazgatási bírságokkal azonos joghatással járnak. Ezért az illetékes nemzeti bíróságok figyelembe veszik a bírság kiszabását kezdeményező felügyeleti hatóság ajánlását. A kiszabott bírságoknak minden esetben hatékonynak, arányosnak és visszatartó erejűnek kell lenniük. |
| --- | --- |

(151)

Dánia és Észtország jogrendszere nem teszi lehetővé az e rendeletben meghatározott közigazgatási bírságok kiszabását. A közigazgatási bírságokra vonatkozó szabályok Dániában oly módon alkalmazhatók, hogy a bírságot az illetékes nemzeti bíróságok büntetőjogi szankcióként róják ki, Észtországban pedig a felügyeleti hatóság rója ki a bírságot fegyelmi eljárás keretében, feltéve hogy a szabályok ilyen fajta alkalmazása ezekben a tagállamokban a felügyeleti hatóságok által kiszabott közigazgatási bírságokkal azonos joghatással járnak. Ezért az illetékes nemzeti bíróságok figyelembe veszik a bírság kiszabását kezdeményező felügyeleti hatóság ajánlását. A kiszabott bírságoknak minden esetben hatékonynak, arányosnak és visszatartó erejűnek kell lenniük.

| (152) | Ha e rendelet nem harmonizálja a közigazgatási szankciókat, vagy ha egyéb esetekben ez szükséges – például e rendelet súlyos megsértése esetén –, a tagállamok hatékony, arányos és visszatartó erejű szankciókat előíró rendszert vezetnek be. E szankciók büntetőjogi vagy közigazgatási jellegét a tagállami jog határozza meg. |
| --- | --- |

(152)

Ha e rendelet nem harmonizálja a közigazgatási szankciókat, vagy ha egyéb esetekben ez szükséges – például e rendelet súlyos megsértése esetén –, a tagállamok hatékony, arányos és visszatartó erejű szankciókat előíró rendszert vezetnek be. E szankciók büntetőjogi vagy közigazgatási jellegét a tagállami jog határozza meg.

| (153) | A tagállamok jogának össze kell egyeztetnie a véleménynyilvánítás és a tájékozódás – ideértve az újságírói, a tudományos, a művészi, illetve az irodalmi kifejezés – szabadságára vonatkozó szabályokat a személyes adatok védelmére vonatkozó, e rendelet szerinti joggal. Helyénvaló, hogy a kizárólag a személyes adatoknak az újságírás, a tudományos, a művészi vagy az irodalmi kifejezés céljából végzett kezelése eltérés tárgyát képezze vagy mentesüljön az e rendelet egyes rendelkezéseiben szereplő követelmények alól, ha ez ahhoz szükséges, hogy a személyes adatok védelméhez való jogot a véleménynyilvánítás szabadságához és tájékozódáshoz való joggal összeegyeztessék, amelyet a Charta 11. cikke biztosít. Ez alkalmazandó különösen a személyes adatok audiovizuális területen, valamint a hírarchívumokban és sajtókönyvtárakban történő kezelésére. Következésképpen a tagállamok jogalkotási intézkedések elfogadásával határozzák meg az ezen alapvető jogok közötti egyensúly érdekében a szükséges kivételeket és eltéréseket. A tagállamok kivételeket és eltéréseket fogadnak el az általános elvek, az érintett jogai, az adatkezelő és adatfeldolgozó, a személyes adatoknak harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása, a független felügyeleti hatóságok, az együttműködés és az egységes alkalmazás, illetve az egyedi adatkezelési helyzetek tekintetében. Ha ezek a kivételek vagy eltérések a tagállamok között különböznek, az adatkezelőre alkalmazandó tagállami jogot kell alkalmazni. A véleménynyilvánítás szabadságához való jog minden demokratikus társadalomban fennálló jelentőségének figyelembevétele érdekében az e szabadsághoz tartozó olyan fogalmakat, mint az újságírás, tágan kell értelmezni. |
| --- | --- |

(153)

A tagállamok jogának össze kell egyeztetnie a véleménynyilvánítás és a tájékozódás – ideértve az újságírói, a tudományos, a művészi, illetve az irodalmi kifejezés – szabadságára vonatkozó szabályokat a személyes adatok védelmére vonatkozó, e rendelet szerinti joggal. Helyénvaló, hogy a kizárólag a személyes adatoknak az újságírás, a tudományos, a művészi vagy az irodalmi kifejezés céljából végzett kezelése eltérés tárgyát képezze vagy mentesüljön az e rendelet egyes rendelkezéseiben szereplő követelmények alól, ha ez ahhoz szükséges, hogy a személyes adatok védelméhez való jogot a véleménynyilvánítás szabadságához és tájékozódáshoz való joggal összeegyeztessék, amelyet a Charta 11. cikke biztosít. Ez alkalmazandó különösen a személyes adatok audiovizuális területen, valamint a hírarchívumokban és sajtókönyvtárakban történő kezelésére. Következésképpen a tagállamok jogalkotási intézkedések elfogadásával határozzák meg az ezen alapvető jogok közötti egyensúly érdekében a szükséges kivételeket és eltéréseket. A tagállamok kivételeket és eltéréseket fogadnak el az általános elvek, az érintett jogai, az adatkezelő és adatfeldolgozó, a személyes adatoknak harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása, a független felügyeleti hatóságok, az együttműködés és az egységes alkalmazás, illetve az egyedi adatkezelési helyzetek tekintetében. Ha ezek a kivételek vagy eltérések a tagállamok között különböznek, az adatkezelőre alkalmazandó tagállami jogot kell alkalmazni. A véleménynyilvánítás szabadságához való jog minden demokratikus társadalomban fennálló jelentőségének figyelembevétele érdekében az e szabadsághoz tartozó olyan fogalmakat, mint az újságírás, tágan kell értelmezni.

| (154) | E rendelet lehetővé teszi a hivatalos iratokhoz való nyilvános hozzáférés elvének figyelembevételét e rendelet alkalmazása során. A hivatalos iratokhoz való nyilvános hozzáférés közérdeknek tekinthető. Lehetővé kell tenni, hogy a közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek birtokában lévő dokumentumokban szereplő személyes adatokat az érintett hatóság vagy szerv nyilvánosságra hozza, ha a nyilvánosságra hozatalt az uniós jog vagy annak a tagállamnak a joga, amelynek az adott közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv a hatálya alá tartozik, előírja. Ezeknek a jogoknak össze kell egyeztetniük a hivatalos dokumentumokhoz való nyilvános hozzáférést és a közszféra információinak további felhasználását a személyes adatok védelméhez való joggal, és ennélfogva rendelkezhetnek a személyes adatok védelméhez való, e rendelet szerinti joggal történő szükséges összeegyeztetésről. A közhatalmi szervek és egyéb, közfeladatot ellátó szervek szervekre való hivatkozásba ebben az összefüggésben mindazon hatóságokat vagy egyéb olyan szerveket is bele kell érteni, amelyekre vonatkozik a dokumentumokhoz való nyilvános hozzáférést szabályozó tagállami jog. A 2003/98/EK európai parlamenti és tanácsi irányelv (14) nem módosítja és nem érinti a természetes személyeknek a személyes adatok kezelése tekintetében történő, az uniós és a tagállami jogba foglalt rendelkezések védelmi szintjét, és különösen nem módosítja az ebben e rendeletben foglalt kötelezettségeket és jogokat. Különösen, az említett irányelvet nem kell alkalmazni olyan dokumentumokra, amelyekhez a hozzáférést a hozzáférési szabályok a személyes adatok védelmének indokával korlátozzák vagy kizárják, valamint az említett szabályok értelmében hozzáférhető dokumentumok azon részeire, amelyek olyan személyes adatokat tartalmaznak, amelyek további felhasználása jogszabályi definíció szerint összeegyeztethetetlen a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére vonatkozó jogszabályokkal. |
| --- | --- |

(154)

E rendelet lehetővé teszi a hivatalos iratokhoz való nyilvános hozzáférés elvének figyelembevételét e rendelet alkalmazása során. A hivatalos iratokhoz való nyilvános hozzáférés közérdeknek tekinthető. Lehetővé kell tenni, hogy a közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek birtokában lévő dokumentumokban szereplő személyes adatokat az érintett hatóság vagy szerv nyilvánosságra hozza, ha a nyilvánosságra hozatalt az uniós jog vagy annak a tagállamnak a joga, amelynek az adott közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv a hatálya alá tartozik, előírja. Ezeknek a jogoknak össze kell egyeztetniük a hivatalos dokumentumokhoz való nyilvános hozzáférést és a közszféra információinak további felhasználását a személyes adatok védelméhez való joggal, és ennélfogva rendelkezhetnek a személyes adatok védelméhez való, e rendelet szerinti joggal történő szükséges összeegyeztetésről. A közhatalmi szervek és egyéb, közfeladatot ellátó szervek szervekre való hivatkozásba ebben az összefüggésben mindazon hatóságokat vagy egyéb olyan szerveket is bele kell érteni, amelyekre vonatkozik a dokumentumokhoz való nyilvános hozzáférést szabályozó tagállami jog. A 2003/98/EK európai parlamenti és tanácsi irányelv (14) nem módosítja és nem érinti a természetes személyeknek a személyes adatok kezelése tekintetében történő, az uniós és a tagállami jogba foglalt rendelkezések védelmi szintjét, és különösen nem módosítja az ebben e rendeletben foglalt kötelezettségeket és jogokat. Különösen, az említett irányelvet nem kell alkalmazni olyan dokumentumokra, amelyekhez a hozzáférést a hozzáférési szabályok a személyes adatok védelmének indokával korlátozzák vagy kizárják, valamint az említett szabályok értelmében hozzáférhető dokumentumok azon részeire, amelyek olyan személyes adatokat tartalmaznak, amelyek további felhasználása jogszabályi definíció szerint összeegyeztethetetlen a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére vonatkozó jogszabályokkal.

| (155) | A tagállami jog vagy kollektív szerződések – ideértve az üzemi megállapodásokat is – előírhatnak olyan konkrét szabályokat, amelyek a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelését szabályozzák, különösen azokat a feltételeket, amelyek mellett a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelésére – a munkavállaló hozzájárulása alapján, a munkaerő-felvétel és a munkaszerződés teljesítése céljából – kerülhet sor, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokszínűséget, a munkahelyi egészségvédelmet és biztonságot, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlását és érvényesülését, valamint a munkaviszony megszüntetése céljából történő adatkezelést. |
| --- | --- |

(155)

A tagállami jog vagy kollektív szerződések – ideértve az üzemi megállapodásokat is – előírhatnak olyan konkrét szabályokat, amelyek a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelését szabályozzák, különösen azokat a feltételeket, amelyek mellett a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelésére – a munkavállaló hozzájárulása alapján, a munkaerő-felvétel és a munkaszerződés teljesítése céljából – kerülhet sor, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokszínűséget, a munkahelyi egészségvédelmet és biztonságot, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlását és érvényesülését, valamint a munkaviszony megszüntetése céljából történő adatkezelést.

| (156) | E rendelet alapján a személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő kezelésére az érintettek jogai és szabadságai tekintetében megfelelő garanciák vonatkoznak. Ez említett garanciák biztosítják, hogy technikai és szervezési intézkedéseket hoztak különösen annak érdekében, hogy az adattakarékosság elve érvényesüljön. A személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további kezelésére akkor kerülhet sor, ha az adatkezelő előzetesen felmérte, hogy ezek a célok megvalósíthatók olyan személyes adatok kezelésével, amelyek eleve nem vagy a továbbiakban már nem teszik lehetővé az érintettek azonosítását, feltéve hogy megfelelő garanciák állnak rendelkezésre (mint például a személyes adatok álnevesítése). A tagállamok megfelelő garanciákról kell rendelkezniük a személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő kezelése tekintetében. A tagállamok számára engedélyezni kell, hogy konkrét feltételekkel és az érintettek számára nyújtott megfelelő garanciák mellett pontosításokat és eltéréseket alkalmazzanak a tájékoztatási követelményekre, a helyesbítéshez való jogra, a törléshez való jogra, az elfeledtetéshez való jogra, az adatkezelés korlátozásához való jogra, valamint az adathordozhatósághoz való jogra, továbbá a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő adatkezeléssel összefüggő tiltakozáshoz való jogra vonatkozóan. A szóban forgó feltételek és garanciák eredményezhetnek egyrészt az említett jogoknak az érintettek általi érvényesítését szolgáló eljárásokat – ha ez megfelelő az adott adatkezelés céljainak fényében –, másrészt az arányosság és a szükségesség elveinek érvényesítése érdekében a személyes adatok kezelésének minimálisra korlátozását célzó technikai és szervezési intézkedéseket. A személyes adatok tudományos célú kezelésének meg kell felelnie az egyéb, például a klinikai vizsgálatokat szabályozó jogszabályoknak is. |
| --- | --- |

(156)

E rendelet alapján a személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő kezelésére az érintettek jogai és szabadságai tekintetében megfelelő garanciák vonatkoznak. Ez említett garanciák biztosítják, hogy technikai és szervezési intézkedéseket hoztak különösen annak érdekében, hogy az adattakarékosság elve érvényesüljön. A személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további kezelésére akkor kerülhet sor, ha az adatkezelő előzetesen felmérte, hogy ezek a célok megvalósíthatók olyan személyes adatok kezelésével, amelyek eleve nem vagy a továbbiakban már nem teszik lehetővé az érintettek azonosítását, feltéve hogy megfelelő garanciák állnak rendelkezésre (mint például a személyes adatok álnevesítése). A tagállamok megfelelő garanciákról kell rendelkezniük a személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő kezelése tekintetében. A tagállamok számára engedélyezni kell, hogy konkrét feltételekkel és az érintettek számára nyújtott megfelelő garanciák mellett pontosításokat és eltéréseket alkalmazzanak a tájékoztatási követelményekre, a helyesbítéshez való jogra, a törléshez való jogra, az elfeledtetéshez való jogra, az adatkezelés korlátozásához való jogra, valamint az adathordozhatósághoz való jogra, továbbá a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő adatkezeléssel összefüggő tiltakozáshoz való jogra vonatkozóan. A szóban forgó feltételek és garanciák eredményezhetnek egyrészt az említett jogoknak az érintettek általi érvényesítését szolgáló eljárásokat – ha ez megfelelő az adott adatkezelés céljainak fényében –, másrészt az arányosság és a szükségesség elveinek érvényesítése érdekében a személyes adatok kezelésének minimálisra korlátozását célzó technikai és szervezési intézkedéseket. A személyes adatok tudományos célú kezelésének meg kell felelnie az egyéb, például a klinikai vizsgálatokat szabályozó jogszabályoknak is.

| (157) | A nyilvántartásokból nyert információk összevetésével a kutatók jelentős értékű új tudásra tehetnek szert többek között a széles körben elterjedt betegségekkel – például a szív- és érrendszeri betegségekkel, a rákkal, és a depresszióval – kapcsolatban. A kutatási eredményeket a nyilvántartások segítségével javítani lehet, mivel az adatok a lakosság szélesebb körétől származnak. A társadalomtudományokban a nyilvántartások alapján végzett kutatásokkal a kutatók lényeges ismeretekre tehetnek szert több társadalmi körülmény – mint például a munkanélküliség és az iskolai végzettség – egyéb életkörülményekkel való hosszú távú összefüggéséről. A nyilvántartások alapján elért kutatási eredmények szilárd, színvonalas tudást nyújtanak, mely alapul szolgálhat a tudásalapú szakpolitikák kidolgozásához és végrehajtásához, javíthatja számos ember életminőségét, valamint fokozhatja a szociális szolgálatok hatékonyságát. A tudományos kutatás megkönnyítése érdekében a személyes adatok az uniós vagy a tagállami jogban meghatározott megfelelő feltételek és garanciák mellett tudományos kutatási célból kezelhetők. |
| --- | --- |

(157)

A nyilvántartásokból nyert információk összevetésével a kutatók jelentős értékű új tudásra tehetnek szert többek között a széles körben elterjedt betegségekkel – például a szív- és érrendszeri betegségekkel, a rákkal, és a depresszióval – kapcsolatban. A kutatási eredményeket a nyilvántartások segítségével javítani lehet, mivel az adatok a lakosság szélesebb körétől származnak. A társadalomtudományokban a nyilvántartások alapján végzett kutatásokkal a kutatók lényeges ismeretekre tehetnek szert több társadalmi körülmény – mint például a munkanélküliség és az iskolai végzettség – egyéb életkörülményekkel való hosszú távú összefüggéséről. A nyilvántartások alapján elért kutatási eredmények szilárd, színvonalas tudást nyújtanak, mely alapul szolgálhat a tudásalapú szakpolitikák kidolgozásához és végrehajtásához, javíthatja számos ember életminőségét, valamint fokozhatja a szociális szolgálatok hatékonyságát. A tudományos kutatás megkönnyítése érdekében a személyes adatok az uniós vagy a tagállami jogban meghatározott megfelelő feltételek és garanciák mellett tudományos kutatási célból kezelhetők.

| (158) | E rendeletet az archiválási célokat szolgáló személyes adatok kezelésekor is alkalmazni kell, szem előtt tartva, hogy e rendelet nem alkalmazható elhunyt személyek személyes adataira. A közérdekű adatokat tároló közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek vagy magánfél szervezetek olyan szolgálatok kell, hogy legyenek, amelyek uniós vagy a tagállami jog szerint kötelesek az általános közérdek szempontjából tartós értéket képviselő adatokat beszerezni, megőrizni, értékelni, rendezni, leírni, közölni, előmozdítani, terjeszteni, illetve azokhoz hozzáférést biztosítani. A tagállamok számára továbbá lehetővé kell tenni, hogy rendelkezzenek a személyes adatok archiválási célokat szolgáló további kezeléséről, például a volt totalitárius államrendszerek alatt tanúsított politikai magatartáshoz, népirtáshoz, az emberiesség elleni bűncselekményekhez, különösen a holokauszthoz és a háborús bűncselekményekhez kapcsolódó konkrét információk szolgáltatása érdekében. |
| --- | --- |

(158)

E rendeletet az archiválási célokat szolgáló személyes adatok kezelésekor is alkalmazni kell, szem előtt tartva, hogy e rendelet nem alkalmazható elhunyt személyek személyes adataira. A közérdekű adatokat tároló közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek vagy magánfél szervezetek olyan szolgálatok kell, hogy legyenek, amelyek uniós vagy a tagállami jog szerint kötelesek az általános közérdek szempontjából tartós értéket képviselő adatokat beszerezni, megőrizni, értékelni, rendezni, leírni, közölni, előmozdítani, terjeszteni, illetve azokhoz hozzáférést biztosítani. A tagállamok számára továbbá lehetővé kell tenni, hogy rendelkezzenek a személyes adatok archiválási célokat szolgáló további kezeléséről, például a volt totalitárius államrendszerek alatt tanúsított politikai magatartáshoz, népirtáshoz, az emberiesség elleni bűncselekményekhez, különösen a holokauszthoz és a háborús bűncselekményekhez kapcsolódó konkrét információk szolgáltatása érdekében.

| (159) | E rendeletet a személyes adatok tudományos kutatási célú kezelése esetében is alkalmazni kell. E rendelet alkalmazásában a személyes adatok tudományos kutatási célú kezelését tág körűen kell értelmezni, oly módon, hogy az magában foglalja többek között a technológiafejlesztési és demonstrációs tevékenységeket, az alapkutatást, az alkalmazott kutatást, és a magánfinanszírozású kutatást. Emellett az ilyen célú adatkezelés összefüggésében figyelembe kell venni az EUMSZ 179. cikkének (1) bekezdésében foglalt, az európai kutatási térség létrehozására irányuló célkitűzést. A tudományos kutatási célok közé kell sorolni a népegészségügy terén folytatott közérdekű kutatásokat is. Ahhoz, hogy az adatkezelés megfeleljen a személyes adatok tudományos kutatási célú kezelésére vonatkozó jellemzőknek, speciális feltételeknek kell eleget tenni különösen a személyes adatok tudományos kutatási célok keretében történő közzétételére vagy egyéb nyilvánosságra hozatalát illetően. Ha a – különösen az egészségügyi témakörben végzett – tudományos kutatás eredménye miatt az érintett érdekében további intézkedések válnak indokolttá, ezen intézkedések tekintetében az e rendeletben foglalt általános szabályokat kell alkalmazni. |
| --- | --- |

(159)

E rendeletet a személyes adatok tudományos kutatási célú kezelése esetében is alkalmazni kell. E rendelet alkalmazásában a személyes adatok tudományos kutatási célú kezelését tág körűen kell értelmezni, oly módon, hogy az magában foglalja többek között a technológiafejlesztési és demonstrációs tevékenységeket, az alapkutatást, az alkalmazott kutatást, és a magánfinanszírozású kutatást. Emellett az ilyen célú adatkezelés összefüggésében figyelembe kell venni az EUMSZ 179. cikkének (1) bekezdésében foglalt, az európai kutatási térség létrehozására irányuló célkitűzést. A tudományos kutatási célok közé kell sorolni a népegészségügy terén folytatott közérdekű kutatásokat is. Ahhoz, hogy az adatkezelés megfeleljen a személyes adatok tudományos kutatási célú kezelésére vonatkozó jellemzőknek, speciális feltételeknek kell eleget tenni különösen a személyes adatok tudományos kutatási célok keretében történő közzétételére vagy egyéb nyilvánosságra hozatalát illetően. Ha a – különösen az egészségügyi témakörben végzett – tudományos kutatás eredménye miatt az érintett érdekében további intézkedések válnak indokolttá, ezen intézkedések tekintetében az e rendeletben foglalt általános szabályokat kell alkalmazni.

| (160) | E rendeletet a történelmi kutatási célokból kezelt személyes adatok esetében is alkalmazni kell. Ide kell sorolni a történelmi kutatásokat és a genealógiai célú kutatást is, szem előtt tartva, hogy e rendelet elhunyt személyre nem alkalmazandó. |
| --- | --- |

(160)

E rendeletet a történelmi kutatási célokból kezelt személyes adatok esetében is alkalmazni kell. Ide kell sorolni a történelmi kutatásokat és a genealógiai célú kutatást is, szem előtt tartva, hogy e rendelet elhunyt személyre nem alkalmazandó.

| (161) | A klinikai vizsgálatok során végzett tudományos kutatásban való részvételhez történő hozzájárulás tekintetében az 536/2014/EU európai parlamenti és tanácsi rendelet (15) releváns rendelkezéseit kell alkalmazni. |
| --- | --- |

(161)

A klinikai vizsgálatok során végzett tudományos kutatásban való részvételhez történő hozzájárulás tekintetében az 536/2014/EU európai parlamenti és tanácsi rendelet (15) releváns rendelkezéseit kell alkalmazni.

| (162) | E rendeletet a személyes adatok statisztikai célú kezelése esetében is alkalmazni kell. E rendelet jelentette korlátokon belül az uniós vagy a tagállami jog határozza meg a statisztikai tartalmat, a hozzáférés ellenőrzését, a személyes adatok statisztikai célú kezelésének szempontjait, az érintettek jogainak és szabadságainak védelmét és a statisztikai adatok bizalmas jellegének garantálását szolgáló megfelelő intézkedéseket. Statisztikai célúnak minősül a személyes adatok statisztikai felmérések vagy statisztikai eredmények kiszámításának céljából történő gyűjtése és kezelése. Ezeket a statisztikai eredményeket a későbbiekben többféle célra is fel lehet használni, többek között tudományos kutatás céljára is. A statisztikai célból következik, hogy a statisztikai célú adatkezelés eredménye nem személyes adat, hanem összesített adat, és hogy ezt az eredményt vagy a személyes adatokat nem használják fel konkrét természetes személyekre vonatkozó intézkedések vagy döntések alátámasztására. |
| --- | --- |

(162)

E rendeletet a személyes adatok statisztikai célú kezelése esetében is alkalmazni kell. E rendelet jelentette korlátokon belül az uniós vagy a tagállami jog határozza meg a statisztikai tartalmat, a hozzáférés ellenőrzését, a személyes adatok statisztikai célú kezelésének szempontjait, az érintettek jogainak és szabadságainak védelmét és a statisztikai adatok bizalmas jellegének garantálását szolgáló megfelelő intézkedéseket. Statisztikai célúnak minősül a személyes adatok statisztikai felmérések vagy statisztikai eredmények kiszámításának céljából történő gyűjtése és kezelése. Ezeket a statisztikai eredményeket a későbbiekben többféle célra is fel lehet használni, többek között tudományos kutatás céljára is. A statisztikai célból következik, hogy a statisztikai célú adatkezelés eredménye nem személyes adat, hanem összesített adat, és hogy ezt az eredményt vagy a személyes adatokat nem használják fel konkrét természetes személyekre vonatkozó intézkedések vagy döntések alátámasztására.

| (163) | Az uniós és a nemzeti statisztikai hatóságok által a hivatalos uniós és a hivatalos nemzeti statisztikák készítéséhez gyűjtött bizalmas adatokat védeni kell. Az uniós statisztikákat az EUMSZ 338. cikkének (2) bekezdésében foglalt statisztikai elveknek megfelelően kell kidolgozni, elkészíteni és terjeszteni, ugyanakkor a nemzeti statisztikák a tagállami jognak is meg kell, hogy feleljenek. A 223/2009/EK európai parlamenti és tanácsi rendelet (16) további konkrét rendelkezéseket határoz meg az uniós statisztikákra vonatkozó titoktartási kötelezettségekről. |
| --- | --- |

(163)

Az uniós és a nemzeti statisztikai hatóságok által a hivatalos uniós és a hivatalos nemzeti statisztikák készítéséhez gyűjtött bizalmas adatokat védeni kell. Az uniós statisztikákat az EUMSZ 338. cikkének (2) bekezdésében foglalt statisztikai elveknek megfelelően kell kidolgozni, elkészíteni és terjeszteni, ugyanakkor a nemzeti statisztikák a tagállami jognak is meg kell, hogy feleljenek. A 223/2009/EK európai parlamenti és tanácsi rendelet (16) további konkrét rendelkezéseket határoz meg az uniós statisztikákra vonatkozó titoktartási kötelezettségekről.

| (164) | A felügyeleti hatóságok azon jogköre tekintetében, hogy az adatkezelőtől vagy adatfeldolgozótól hozzáférést kapjanak a személyes adatokhoz, illetve belépési engedélyt kapjanak annak helyiségeibe, a tagállamok e rendelet keretein belül jogszabályban különös rendelkezéseket hozhatnak annak érdekében, hogy a szakmai vagy más, azzal egyenértékű titoktartási kötelezettségeket biztosítsák, ha a személyes adatok védelméhez való jogot a szakmai titoktartásra vonatkozó kötelezettséggel kell összeegyeztetni. Ez nem érinti a tagállamok azon meglévő kötelezettségét, hogy szakmai titoktartási rendelkezéseket fogadjanak el, ha az uniós jog ezt megköveteli. |
| --- | --- |

(164)

A felügyeleti hatóságok azon jogköre tekintetében, hogy az adatkezelőtől vagy adatfeldolgozótól hozzáférést kapjanak a személyes adatokhoz, illetve belépési engedélyt kapjanak annak helyiségeibe, a tagállamok e rendelet keretein belül jogszabályban különös rendelkezéseket hozhatnak annak érdekében, hogy a szakmai vagy más, azzal egyenértékű titoktartási kötelezettségeket biztosítsák, ha a személyes adatok védelméhez való jogot a szakmai titoktartásra vonatkozó kötelezettséggel kell összeegyeztetni. Ez nem érinti a tagállamok azon meglévő kötelezettségét, hogy szakmai titoktartási rendelkezéseket fogadjanak el, ha az uniós jog ezt megköveteli.

| (165) | E rendelet az EUMSZ 17. cikke értelmében tiszteletben tartja és nem sérti az egyházak és vallási szervezetek vagy közösségek hatályos alkotmányos jog szerinti jogállását a tagállamokban. |
| --- | --- |

(165)

E rendelet az EUMSZ 17. cikke értelmében tiszteletben tartja és nem sérti az egyházak és vallási szervezetek vagy közösségek hatályos alkotmányos jog szerinti jogállását a tagállamokban.

| (166) | E rendelet célkitűzéseinek megvalósítása, vagyis a természetes személyek alapvető jogainak és szabadságainak – különösen a személyes adatok védelméhez való joguk – védelme, valamint a személyes adatok Unión belüli szabad áramlásának biztosítása érdekében a Bizottságot fel kell hatalmazni arra, hogy az EUMSZ 290. cikkének megfelelően jogi aktusokat fogadjon el. Felhatalmazáson alapuló jogi aktusokat kell elfogadni különösen a tanúsítási mechanizmusok szempontjai és követelményei, a szabványosított ikonokkal megjelenítendő információk és az ilyen ikonok meghatározására szolgáló eljárások tekintetében. Különösen fontos, hogy a Bizottság az előkészítő munkája során megfelelő konzultációkat folytasson, többek között szakértői szinten is. A felhatalmazáson alapuló jogi aktusok előkészítésekor és megszövegezésekor a Bizottság gondoskodik arról, hogy kellő időben, és a tagállami szakértőknek való megküldéssel egyidejűleg megküldje az összes dokumentumot, így a jogi aktusok tervezetét is az Európai Parlament és a Tanács részére. |
| --- | --- |

(166)

E rendelet célkitűzéseinek megvalósítása, vagyis a természetes személyek alapvető jogainak és szabadságainak – különösen a személyes adatok védelméhez való joguk – védelme, valamint a személyes adatok Unión belüli szabad áramlásának biztosítása érdekében a Bizottságot fel kell hatalmazni arra, hogy az EUMSZ 290. cikkének megfelelően jogi aktusokat fogadjon el. Felhatalmazáson alapuló jogi aktusokat kell elfogadni különösen a tanúsítási mechanizmusok szempontjai és követelményei, a szabványosított ikonokkal megjelenítendő információk és az ilyen ikonok meghatározására szolgáló eljárások tekintetében. Különösen fontos, hogy a Bizottság az előkészítő munkája során megfelelő konzultációkat folytasson, többek között szakértői szinten is. A felhatalmazáson alapuló jogi aktusok előkészítésekor és megszövegezésekor a Bizottság gondoskodik arról, hogy kellő időben, és a tagállami szakértőknek való megküldéssel egyidejűleg megküldje az összes dokumentumot, így a jogi aktusok tervezetét is az Európai Parlament és a Tanács részére.

| (167) | E rendelet végrehajtása egységes feltételeinek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni, ha e rendelet úgy rendelkezik. Ezeket a végrehajtási hatásköröket a 182/2011/EU rendeletnek megfelelően kell gyakorolni. Ezzel összefüggésben a Bizottságnak mérlegelnie kell különös intézkedések alkalmazását a mikro-, kis- és középvállalkozások tekintetében. |
| --- | --- |

(167)

E rendelet végrehajtása egységes feltételeinek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni, ha e rendelet úgy rendelkezik. Ezeket a végrehajtási hatásköröket a 182/2011/EU rendeletnek megfelelően kell gyakorolni. Ezzel összefüggésben a Bizottságnak mérlegelnie kell különös intézkedések alkalmazását a mikro-, kis- és középvállalkozások tekintetében.

| (168) | Vizsgálóbizottsági eljárást kell alkalmazni az adatkezelők és adatfeldolgozók közötti, illetve az adatfeldolgozók közötti általános szerződési feltételekre; a magatartási kódexekre; a tanúsítás technikai standardjaira és mechanizmusaira; a harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szintre; az általános adatvédelmi kikötések elfogadására; az adatkezelők, az adatfeldolgozók és a felügyeleti hatóságok között, a kötelező erejű vállalati szabályokra vonatkozóan folytatott elektronikus információcsere formájára és eljárásaira; a kölcsönös segítségnyújtásra; a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti elektronikus információcserére vonatkozó szabályokkal kapcsolatos végrehajtási jogi aktusok elfogadására. |
| --- | --- |

(168)

Vizsgálóbizottsági eljárást kell alkalmazni az adatkezelők és adatfeldolgozók közötti, illetve az adatfeldolgozók közötti általános szerződési feltételekre; a magatartási kódexekre; a tanúsítás technikai standardjaira és mechanizmusaira; a harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szintre; az általános adatvédelmi kikötések elfogadására; az adatkezelők, az adatfeldolgozók és a felügyeleti hatóságok között, a kötelező erejű vállalati szabályokra vonatkozóan folytatott elektronikus információcsere formájára és eljárásaira; a kölcsönös segítségnyújtásra; a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti elektronikus információcserére vonatkozó szabályokkal kapcsolatos végrehajtási jogi aktusok elfogadására.

| (169) | A Bizottságnak azonnal alkalmazandó végrehajtási jogi aktusokat kell elfogadnia azokban a kellően indokolt, rendkívül sürgős esetekben, ha a rendelkezésre álló bizonyítékokból az derül ki, hogy a harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő védelmi szintet. |
| --- | --- |

(169)

A Bizottságnak azonnal alkalmazandó végrehajtási jogi aktusokat kell elfogadnia azokban a kellően indokolt, rendkívül sürgős esetekben, ha a rendelkezésre álló bizonyítékokból az derül ki, hogy a harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő védelmi szintet.

| (170) | Mivel e rendelet célját, nevezetesen a természetes személyek azonos szintű védelmét, valamint a személyes adatok Unión belüli szabad áramlását a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés terjedelme vagy hatásainak meghatározása miatt e célok jobban megvalósíthatók, az Unió intézkedéseket hozhat az Európai Unióról szóló szerződés (EUSZ) 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányossági elvnek megfelelően ez a rendelet nem lépi túl az e célok eléréséhez szükséges mértéket. |
| --- | --- |

(170)

Mivel e rendelet célját, nevezetesen a természetes személyek azonos szintű védelmét, valamint a személyes adatok Unión belüli szabad áramlását a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés terjedelme vagy hatásainak meghatározása miatt e célok jobban megvalósíthatók, az Unió intézkedéseket hozhat az Európai Unióról szóló szerződés (EUSZ) 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányossági elvnek megfelelően ez a rendelet nem lépi túl az e célok eléréséhez szükséges mértéket.

| (171) | E rendelet hatályon kívül helyezi a 95/46/EK irányelvet. Az e rendelet alkalmazásának időpontja előtt megkezdett adatkezelést e rendelet hatálybalépésének időpontjától számított két éven belül összhangba kell hozni e rendelettel. Ha az adatkezelés a 95/46/EK irányelv szerinti hozzájáruláson alapul és az érintett az e rendeletben foglalt feltételekkel összhangban adta meg hozzájárulását, nem kell ismételten az érintett engedélyét kérni ahhoz, hogy az adatkezelő e rendelet alkalmazási időpontját követően is folytathassa az adatkezelést. A 95/46/EK irányelv alapján a Bizottság által hozott határozatok, valamint a felügyeleti hatóságok által kiadott engedélyek hatályban maradnak mindaddig, amíg módosításukra, felváltásukra vagy hatályon kívül helyezésükre sor nem kerül. |
| --- | --- |

(171)

E rendelet hatályon kívül helyezi a 95/46/EK irányelvet. Az e rendelet alkalmazásának időpontja előtt megkezdett adatkezelést e rendelet hatálybalépésének időpontjától számított két éven belül összhangba kell hozni e rendelettel. Ha az adatkezelés a 95/46/EK irányelv szerinti hozzájáruláson alapul és az érintett az e rendeletben foglalt feltételekkel összhangban adta meg hozzájárulását, nem kell ismételten az érintett engedélyét kérni ahhoz, hogy az adatkezelő e rendelet alkalmazási időpontját követően is folytathassa az adatkezelést. A 95/46/EK irányelv alapján a Bizottság által hozott határozatok, valamint a felügyeleti hatóságok által kiadott engedélyek hatályban maradnak mindaddig, amíg módosításukra, felváltásukra vagy hatályon kívül helyezésükre sor nem kerül.

| (172) | Az európai adatvédelmi biztossal a 45/2001/EK rendelet 28. cikkének (2) bekezdésével összhangban konzultációra került sor, és a biztos 2012. március 7-én véleményt nyilvánított (17). |
| --- | --- |

(172)

Az európai adatvédelmi biztossal a 45/2001/EK rendelet 28. cikkének (2) bekezdésével összhangban konzultációra került sor, és a biztos 2012. március 7-én véleményt nyilvánított (17).

| (173) | E rendeletet kell alkalmazni a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme vonatkozásában az alapvető jogok és szabadságok védelmét érintő minden olyan esetben, amelyekre nem vonatkoznak azonos célú, a 2002/58/EK európai parlamenti és tanácsi irányelvben (18) meghatározott különös kötelezettségek, ideértve az adatkezelő kötelezettségeit és a természetes személyek jogait is. Az e rendelet és a 2002/58/EK irányelv közötti kapcsolat egyértelművé tétele érdekében ez utóbbi irányelvet ennek megfelelően módosítani kell. E rendelet elfogadását követően a 2002/58/EK irányelvet elsősorban az e rendelettel való összhang biztosítása érdekében felül kell vizsgálni, |
| --- | --- |

(173)

E rendeletet kell alkalmazni a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme vonatkozásában az alapvető jogok és szabadságok védelmét érintő minden olyan esetben, amelyekre nem vonatkoznak azonos célú, a 2002/58/EK európai parlamenti és tanácsi irányelvben (18) meghatározott különös kötelezettségek, ideértve az adatkezelő kötelezettségeit és a természetes személyek jogait is. Az e rendelet és a 2002/58/EK irányelv közötti kapcsolat egyértelművé tétele érdekében ez utóbbi irányelvet ennek megfelelően módosítani kell. E rendelet elfogadását követően a 2002/58/EK irányelvet elsősorban az e rendelettel való összhang biztosítása érdekében felül kell vizsgálni,

ELFOGADTA EZT A RENDELETET:

I. FEJEZET

Általános rendelkezések

1. cikk

Tárgy

(1)   Ez a rendelet a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályokat állapít meg.

(2)   Ez a rendelet a természetes személyek alapvető jogait és szabadságait és különösen a személyes adatok védelméhez való jogukat védi.

(3)   A személyes adatok Unión belüli szabad áramlása nem korlátozható vagy tiltható meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból.

2. cikk

Tárgyi hatály

(1)   E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

(2)   E rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt:

| a) | az uniós jog hatályán kívül eső tevékenységek során végzik; |
| --- | --- |

a)

az uniós jog hatályán kívül eső tevékenységek során végzik;

| b) | a tagállamok az EUSZ V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzik; |
| --- | --- |

b)

a tagállamok az EUSZ V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzik;

| c) | természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik; |
| --- | --- |

c)

természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik;

| d) | az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését. |
| --- | --- |

d)

az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.

(3)   A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK rendeletet kell alkalmazni. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi aktusokat a 98. cikkel összhangban hozzá kell igazítani az e rendeletben foglalt elvekhez és szabályokhoz.

(4)   E rendelet nem érinti a 2000/31/EK irányelv alkalmazását, különösen az irányelv 12–15. cikkében foglalt, a közvetítő szolgáltatók felelősségére vonatkozó szabályokat.

3. cikk

Területi hatály

(1)   E rendeletet kell alkalmazni a személyes adatoknak az Unióban tevékenységi hellyel rendelkező adatkezelők vagy adatfeldolgozók tevékenységeivel összefüggésben végzett kezelésére, függetlenül attól, hogy az adatkezelés az Unió területén történik vagy nem.

(2)   E rendeletet kell alkalmazni az Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó által végzett kezelésére, ha az adatkezelési tevékenységek:

| a) | áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódnak, függetlenül attól, hogy az érintettnek fizetnie kell-e azokért; vagy |
| --- | --- |

a)

áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódnak, függetlenül attól, hogy az érintettnek fizetnie kell-e azokért; vagy

| b) | az érintettek viselkedésének megfigyeléséhez kapcsolódnak, feltéve hogy az Unió területén belül tanúsított viselkedésükről van szó. |
| --- | --- |

b)

az érintettek viselkedésének megfigyeléséhez kapcsolódnak, feltéve hogy az Unió területén belül tanúsított viselkedésükről van szó.

(3)   E rendeletet kell alkalmazni a személyes adatoknak a nem az Unióban, hanem olyan helyen tevékenységi hellyel rendelkező adatkezelő által végzett kezelésére, ahol a nemzetközi közjog értelmében valamely tagállam joga alkalmazandó.

4. cikk

Fogalommeghatározások

E rendelet alkalmazásában:

1.   „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

„személyes adat”

2.   „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;

„adatkezelés”

3.   „az adatkezelés korlátozása”: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából;

„az adatkezelés korlátozása”

4.   „profilalkotás”: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják;

„profilalkotás”

5.   „álnevesítés”: a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni;

„álnevesítés”

6.   „nyilvántartási rendszer”: a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető;

„nyilvántartási rendszer”

7.   „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

„adatkezelő”

8.   „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel;

„adatfeldolgozó”

9.   „címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak;

„címzett”

10.   „harmadik fél”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;

„harmadik fél”

11.   „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;

„az érintett hozzájárulása”

12.   „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi;

„adatvédelmi incidens”

13.   „genetikai adat”: egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó minden olyan személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozó egyedi információt hordoz, és amely elsősorban az említett természetes személyből vett biológiai minta elemzéséből ered;

„genetikai adat”

14.   „biometrikus adat”: egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat;

„biometrikus adat”

15.   „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról;

„egészségügyi adat”

16.   „tevékenységi központ”:

„tevékenységi központ”

| a) | az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő esetében az Unión belüli központi ügyvitelének helye, ha azonban a személyes adatok kezelésének céljaira és eszközeire vonatkozó döntéseket az adatkezelő egy Unión belüli másik tevékenységi helyén hozzák, és az utóbbi tevékenységi hely rendelkezik hatáskörrel az említett döntések végrehajtatására, az említett döntéseket meghozó tevékenységi helyet kell tevékenységi központnak tekinteni; |
| --- | --- |

a)

az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő esetében az Unión belüli központi ügyvitelének helye, ha azonban a személyes adatok kezelésének céljaira és eszközeire vonatkozó döntéseket az adatkezelő egy Unión belüli másik tevékenységi helyén hozzák, és az utóbbi tevékenységi hely rendelkezik hatáskörrel az említett döntések végrehajtatására, az említett döntéseket meghozó tevékenységi helyet kell tevékenységi központnak tekinteni;

| b) | az egynél több tagállamban tevékenységi hellyel rendelkező adatfeldolgozó esetében az Unión belüli központi ügyvitelének helye, vagy ha az adatfeldolgozó az Unióban nem rendelkezik központi ügyviteli hellyel, akkor az adatfeldolgozónak az az Unión belüli tevékenységi helye, ahol az adatfeldolgozó tevékenységi helyén folytatott tevékenységekkel összefüggésben végzett fő adatkezelési tevékenységek zajlanak, amennyiben az adatfeldolgozóra e rendelet szerint meghatározott kötelezettségek vonatkoznak; |
| --- | --- |

b)

az egynél több tagállamban tevékenységi hellyel rendelkező adatfeldolgozó esetében az Unión belüli központi ügyvitelének helye, vagy ha az adatfeldolgozó az Unióban nem rendelkezik központi ügyviteli hellyel, akkor az adatfeldolgozónak az az Unión belüli tevékenységi helye, ahol az adatfeldolgozó tevékenységi helyén folytatott tevékenységekkel összefüggésben végzett fő adatkezelési tevékenységek zajlanak, amennyiben az adatfeldolgozóra e rendelet szerint meghatározott kötelezettségek vonatkoznak;

17.   „képviselő”: az az Unióban tevékenységi hellyel, illetve lakóhellyel rendelkező és az adatkezelő vagy adatfeldolgozó által a 27. cikk alapján írásban megjelölt természetes vagy jogi személy, aki, illetve amely az adatkezelőt vagy adatfeldolgozót képviseli az adatkezelőre vagy adatfeldolgozóra az e rendelet értelmében háruló kötelezettségek vonatkozásában;

„képviselő”

18.   „vállalkozás”: gazdasági tevékenységet folytató természetes vagy jogi személy, függetlenül a jogi formájától, ideértve a rendszeres gazdasági tevékenységet folytató személyegyesítő társaságokat és egyesületeket is;

„vállalkozás”

19.   „vállalkozáscsoport”: az ellenőrző vállalkozás és az általa ellenőrzött vállalkozások;

„vállalkozáscsoport”

20.   „kötelező erejű vállalati szabályok”: a személyes adatok védelmére vonatkozó szabályzat, amelyet az Unió valamely tagállamának területén tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó egy vagy több harmadik országban a személyes adatoknak az ugyanazon vállalkozáscsoporton vagy közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli adatkezelő vagy adatfeldolgozó részéről történő továbbítása vagy ilyen továbbítások sorozata tekintetében követ;

„kötelező erejű vállalati szabályok”

21.   „felügyeleti hatóság”: egy tagállam által az 51. cikknek megfelelően létrehozott független közhatalmi szerv;

„felügyeleti hatóság”

22.   „érintett felügyeleti hatóság”: az a felügyeleti hatóság, amelyet a személyes adatok kezelése a következő okok valamelyike alapján érint:

„érintett felügyeleti hatóság”

| a) | az adatkezelő vagy az adatfeldolgozó az említett felügyeleti hatóság tagállamának területén rendelkezik tevékenységi hellyel; |
| --- | --- |

a)

az adatkezelő vagy az adatfeldolgozó az említett felügyeleti hatóság tagállamának területén rendelkezik tevékenységi hellyel;

| b) | az adatkezelés jelentős mértékben érinti vagy valószínűsíthetően jelentős mértékben érinti a felügyeleti hatóság tagállamában lakóhellyel rendelkező érintetteket; vagy |
| --- | --- |

b)

az adatkezelés jelentős mértékben érinti vagy valószínűsíthetően jelentős mértékben érinti a felügyeleti hatóság tagállamában lakóhellyel rendelkező érintetteket; vagy

| c) | panaszt nyújtottak be az említett felügyeleti hatósághoz; |
| --- | --- |

c)

panaszt nyújtottak be az említett felügyeleti hatósághoz;

23.   „személyes adatok határokon átnyúló adatkezelése”:

„személyes adatok határokon átnyúló adatkezelése”

| a) | személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó több tagállamban található tevékenységi helyein folytatott tevékenységekkel összefüggésben kerül sor; vagy |
| --- | --- |

a)

személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó több tagállamban található tevékenységi helyein folytatott tevékenységekkel összefüggésben kerül sor; vagy

| b) | személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az adatkezelő vagy az adatfeldolgozó egyetlen tevékenységi helyén folytatott tevékenységekkel összefüggésben kerül sor úgy, hogy egynél több tagállamban jelentős mértékben érint vagy valószínűsíthetően jelentős mértékben érint érintetteket; |
| --- | --- |

b)

személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az adatkezelő vagy az adatfeldolgozó egyetlen tevékenységi helyén folytatott tevékenységekkel összefüggésben kerül sor úgy, hogy egynél több tagállamban jelentős mértékben érint vagy valószínűsíthetően jelentős mértékben érint érintetteket;

24.   „releváns és megalapozott kifogás”: a döntéstervezettel szemben benyújtott, azzal kapcsolatos kifogás, hogy ezt a rendeletet megsértették-e, illetve hogy az adatkezelőre vagy az adatfeldolgozóra vonatkozó tervezett intézkedés összhangban van-e a rendelettel; a kifogásban egyértelműen be kell mutatni a döntéstervezet által az érintettek alapvető jogaira és szabadságaira, valamint adott esetben a személyes adatok Unión belüli szabad áramlására jelentett kockázatok jelentőségét;

„releváns és megalapozott kifogás”

25.   „az információs társadalommal összefüggő szolgáltatás”: az (EU) 2015/1535 európai parlamenti és tanácsi irányelv (19) 1. cikke (1) bekezdésének b) pontja értelmében vett szolgáltatás;

„az információs társadalommal összefüggő szolgáltatás”

19

26.   „nemzetközi szervezet”: a nemzetközi közjog hatálya alá tartozó szervezet vagy annak alárendelt szervei, vagy olyan egyéb szerv, amelyet két vagy több ország közötti megállapodás hozott létre vagy amely ilyen megállapodás alapján jött létre.

„nemzetközi szervezet”

II. FEJEZET

Elvek

5. cikk

A személyes adatok kezelésére vonatkozó elvek

(1)   A személyes adatok:

| a) | kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); |
| --- | --- |

a)

kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

| b) | gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); |
| --- | --- |

b)

gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);

| c) | az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); |
| --- | --- |

c)

az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”);

| d) | pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”); |
| --- | --- |

d)

pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”);

| e) | tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); |
| --- | --- |

e)

tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”);

| f) | kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). |
| --- | --- |

f)

kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).

(2)   Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

6. cikk

Az adatkezelés jogszerűsége

(1)   A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

| a) | az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; |
| --- | --- |

a)

az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;

| b) | az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; |
| --- | --- |

b)

az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

| c) | az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; |
| --- | --- |

c)

az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;

| d) | az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; |
| --- | --- |

d)

az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;

| e) | az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; |
| --- | --- |

e)

az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;

| f) | az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. |
| --- | --- |

f)

az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.

(2)   Az e rendeletben foglalt, adatkezelésre vonatkozó szabályok alkalmazásának kiigazítása érdekében, a tagállamok az (1) bekezdés c) és e) pontjának való megfelelés céljából fenntarthatnak vagy bevezethetnek konkrétabb rendelkezéseket, amelyekben pontosabban meghatározzák az adatkezelésre vonatkozó konkrét követelményeket, és amelyekben további intézkedéseket tesznek az adatkezelés jogszerűségének és tisztességességének biztosítására, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzeteket is.

(3)   Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:

| a) | az uniós jog, vagy |
| --- | --- |

a)

az uniós jog, vagy

| b) | azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik. |
| --- | --- |

b)

azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.

Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.

(4)   Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi:

| a) | a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat; |
| --- | --- |

a)

a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat;

| b) | a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra; |
| --- | --- |

b)

a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra;

| c) | a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről van-e szó; |
| --- | --- |

c)

a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről van-e szó;

| d) | azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése; |
| --- | --- |

d)

azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése;

| e) | megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is. |
| --- | --- |

e)

megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is.

7. cikk

A hozzájárulás feltételei

(1)   Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.

(2)   Ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az érintett hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti e rendeletet, kötelező erővel nem bír.

(3)   Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.

(4)   Annak megállapítása során, hogy a hozzájárulás önkéntes-e, a lehető legnagyobb mértékben figyelembe kell venni azt a tényt, egyebek mellett, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták-e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek a szerződés teljesítéséhez.

8. cikk

A gyermek hozzájárulására vonatkozó feltételek az információs társadalommal összefüggő szolgáltatások vonatkozásában

(1)   Ha a 6. cikk (1) bekezdésének a) pontja alkalmazandó, a közvetlenül gyermekeknek kínált, információs társadalommal összefüggő szolgáltatások vonatkozásában végzett személyes adatok kezelése akkor jogszerű, ha a gyermek a 16. életévét betöltötte. A 16. életévét be nem töltött gyermek esetén, a gyermekek személyes adatainak kezelése csak akkor és olyan mértékben jogszerű, ha a hozzájárulást a gyermek feletti szülői felügyeletet gyakorló adta meg, illetve engedélyezte.

A tagállamok e célokból jogszabályban ennél alacsonyabb, de a 13. életévnél nem alacsonyabb életkort is megállapíthatnak.

(2)   Az adatkezelő – figyelembe véve az elérhető technológiát – észszerű erőfeszítéseket tesz, hogy ilyen esetekben ellenőrizze, hogy a hozzájárulást a gyermek feletti szülői felügyeleti jog gyakorlója adta meg, illetve engedélyezte.

(3)   Az (1) bekezdés nem érinti a tagállamok általános szerződési jogát, például a gyermek által kötött szerződések érvényességére, formájára vagy hatályára vonatkozó szabályokat.

9. cikk

A személyes adatok különleges kategóriáinak kezelése

(1)   A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.

(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha:

| a) | az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával; |
| --- | --- |

a)

az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;

| b) | az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi; |
| --- | --- |

b)

az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;

| c) | az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni; |
| --- | --- |

c)

az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni;

| d) | az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára; |
| --- | --- |

d)

az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára;

| e) | az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott; |
| --- | --- |

e)

az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott;

| f) | az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el; |
| --- | --- |

f)

az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el;

| g) | az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő; |
| --- | --- |

g)

az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő;

| h) | az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel; |
| --- | --- |

h)

az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel;

| i) | az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy az egészségügyi ellátás, a gyógyszerek és az orvostechnikai eszközök magas színvonalának és biztonságának a biztosítása, és olyan uniós vagy tagállami jog alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett jogait és szabadságait védő garanciákra, és különösen a szakmai titoktartásra vonatkozóan; |
| --- | --- |

i)

az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy az egészségügyi ellátás, a gyógyszerek és az orvostechnikai eszközök magas színvonalának és biztonságának a biztosítása, és olyan uniós vagy tagállami jog alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett jogait és szabadságait védő garanciákra, és különösen a szakmai titoktartásra vonatkozóan;

| j) | az adatkezelés a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból szükséges olyan uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő; |
| --- | --- |

j)

az adatkezelés a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból szükséges olyan uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő;

(3)   Az (1) bekezdésben említett személyes adatokat abban az esetben lehet a (2) bekezdés h) pontjában említett célokból kezelni, ha ezen adatok kezelése olyan szakember által vagy olyan szakember felelőssége mellett történik, aki uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott szakmai titoktartási kötelezettség hatálya alatt áll, illetve olyan más személy által, aki szintén uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott titoktartási kötelezettség hatálya alatt áll.

(4)   A tagállamok további feltételeket – köztük korlátozásokat – tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan.

10. cikk

A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelése

A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre, illetve a kapcsolódó biztonsági intézkedésekre vonatkozó személyes adatoknak a 6. cikk (1) bekezdése alapján történő kezelésére kizárólag abban az esetben kerülhet sor, ha az közhatalmi szerv adatkezelésében történik, vagy ha az adatkezelést az érintett jogai és szabadságai tekintetében megfelelő garanciákat nyújtó uniós vagy tagállami jog lehetővé teszi. A büntetőjogi felelősség megállapítására vonatkozó határozatok teljes körű nyilvántartása csak közhatalmi szerv által végzett adatkezelés keretében történhet.

11. cikk

Azonosítást nem igénylő adatkezelés

(1)   Ha azok a célok, amelyekből az adatkezelő a személyes adatokat kezeli, nem vagy már nem teszik szükségessé az érintettnek az adatkezelő általi azonosítását, az adatkezelő nem köteles kiegészítő információkat megőrizni, beszerezni vagy kezelni annak érdekében, hogy pusztán azért azonosítsa az érintettet, hogy megfeleljen e rendeletnek.

(2)   Ha az e cikk (1) bekezdésében említett esetekben az adatkezelő bizonyítani tudja, hogy nincs abban a helyzetben, hogy azonosítsa az érintettet, erről lehetőség szerint őt megfelelő módon tájékoztatja. Ilyen esetekben a 15–20. cikk nem alkalmazandó, kivéve, ha az érintett abból a célból, hogy az említett cikkek szerinti jogait gyakorolja, az azonosítását lehetővé tevő kiegészítő információkat nyújt.

III. FEJEZET

Az érintett jogai

1. szakasz

Átláthatóság és intézkedések

12. cikk

Átlátható tájékoztatás, kommunikáció és az érintett jogainak gyakorlására vonatkozó intézkedések

(1)   Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(2)   Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15–22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

(3)   Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(4)   Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

(5)   A 13. és 14. cikk szerinti információkat és a 15–22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre:

| a) | észszerű összegű díjat számíthat fel, vagy |
| --- | --- |

a)

észszerű összegű díjat számíthat fel, vagy

| b) | megtagadhatja a kérelem alapján történő intézkedést. |
| --- | --- |

b)

megtagadhatja a kérelem alapján történő intézkedést.

A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.

(6)   A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

(7)   Az érintett részére a 13. és 14. cikk alapján nyújtandó információkat szabványosított ikonokkal is ki lehet egészíteni annak érdekében, hogy a tervezett adatkezelésről az érintett jól látható, könnyen érthető és jól olvasható formában kapjon általános tájékoztatást. Az elektronikusan megjelenített ikonoknak géppel olvashatónak kell lenniük.

(8)   A Bizottság felhatalmazást kap arra, hogy a 92. cikkel összhangban felhatalmazáson alapuló jogi aktusokat fogadjon el az ikonok által megjelenítendő információk és a szabványosított ikonok biztosítására vonatkozó eljárások meghatározása céljából.

2. szakasz

Tájékoztatás és a személyes adatokhoz való hozzáférés

13. cikk

Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik

(1)   Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

| a) | az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; |
| --- | --- |

a)

az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

| b) | az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; |
| --- | --- |

b)

az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

| c) | a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; |
| --- | --- |

c)

a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

| d) | a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; |
| --- | --- |

d)

a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;

| e) | adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; |
| --- | --- |

e)

adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

| f) | adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. |
| --- | --- |

f)

adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

(2)   Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

| a) | a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; |
| --- | --- |

a)

a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;

| b) | az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; |
| --- | --- |

b)

az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;

| c) | a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; |
| --- | --- |

c)

a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

| d) | a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; |
| --- | --- |

d)

a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;

| e) | arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; |
| --- | --- |

e)

arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;

| f) | a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. |
| --- | --- |

f)

a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(3)   Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

(4)   Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.

14. cikk

Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg

(1)   Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:

| a) | az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; |
| --- | --- |

a)

az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

| b) | az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; |
| --- | --- |

b)

az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

| c) | a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; |
| --- | --- |

c)

a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

| d) | az érintett személyes adatok kategóriái; |
| --- | --- |

d)

az érintett személyes adatok kategóriái;

| e) | a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; |
| --- | --- |

e)

a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

| f) | adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. |
| --- | --- |

f)

adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás.

(2)   Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:

| a) | a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; |
| --- | --- |

a)

a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

| b) | ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; |
| --- | --- |

b)

ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;

| c) | az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; |
| --- | --- |

c)

az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;

| d) | a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; |
| --- | --- |

d)

a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

| e) | a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; |
| --- | --- |

e)

a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;

| f) | a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és |
| --- | --- |

f)

a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és

| g) | a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. |
| --- | --- |

g)

a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(3)   Az adatkezelő az (1) és (2) bekezdés szerinti tájékoztatást az alábbiak szerint adja meg:

| a) | a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül; |
| --- | --- |

a)

a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül;

| b) | ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy |
| --- | --- |

b)

ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy

| c) | ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor. |
| --- | --- |

c)

ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor.

(4)   Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

(5)   Az (1)–(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben:

| a) | az érintett már rendelkezik az információkkal; |
| --- | --- |

a)

az érintett már rendelkezik az információkkal;

| b) | a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében; |
| --- | --- |

b)

a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében;

| c) | az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy |
| --- | --- |

c)

az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy

| d) | a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia. |
| --- | --- |

d)

a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia.

15. cikk

Az érintett hozzáférési joga

(1)   Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

| a) | az adatkezelés céljai; |
| --- | --- |

a)

az adatkezelés céljai;

| b) | az érintett személyes adatok kategóriái; |
| --- | --- |

b)

az érintett személyes adatok kategóriái;

| c) | azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; |
| --- | --- |

c)

azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

| d) | adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; |
| --- | --- |

d)

adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

| e) | az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; |
| --- | --- |

e)

az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

| f) | a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; |
| --- | --- |

f)

a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;

| g) | ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; |
| --- | --- |

g)

ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;

| h) | a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. |
| --- | --- |

h)

a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

(2)   Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 46. cikk szerinti megfelelő garanciákról.

(3)   Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

(4)   A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.

3. szakasz

Helyesbítés és törlés

16. cikk

A helyesbítéshez való jog

Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

17. cikk

A törléshez való jog („az elfeledtetéshez való jog”)

(1)   Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

| a) | a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; |
| --- | --- |

a)

a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

| b) | az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; |
| --- | --- |

b)

az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

| c) | az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezeléseó ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; |
| --- | --- |

c)

az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezeléseó ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen;

| d) | a személyes adatokat jogellenesen kezelték; |
| --- | --- |

d)

a személyes adatokat jogellenesen kezelték;

| e) | a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; |
| --- | --- |

e)

a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;

| f) | a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. |
| --- | --- |

f)

a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

(2)   Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

(3)   Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

| a) | a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; |
| --- | --- |

a)

a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;

| b) | a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; |
| --- | --- |

b)

a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

| c) | a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; |
| --- | --- |

c)

a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján;

| d) | a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy |
| --- | --- |

d)

a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy

| e) | jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. |
| --- | --- |

e)

jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.

18. cikk

Az adatkezelés korlátozásához való jog

(1)   Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

| a) | az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát; |
| --- | --- |

a)

az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;

| b) | az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását; |
| --- | --- |

b)

az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;

| c) | az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy |
| --- | --- |

c)

az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy

| d) | az érintett a 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben. |
| --- | --- |

d)

az érintett a 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.

(2)   Ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

(3)   Az adatkezelő az érintettet, akinek a kérésére az (1) bekezdés alapján korlátozták az adatkezelést, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.

19. cikk

A személyes adatok helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség

Az adatkezelő minden olyan címzettet tájékoztat a 16. cikk, a 17. cikk (1) bekezdése, illetve a 18. cikk szerinti valamennyi helyesbítésről, törlésről vagy adatkezelés-korlátozásról, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére az adatkezelő tájékoztatja e címzettekről.

20. cikk

Az adathordozhatósághoz való jog

(1)   Az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha:

| a) | az adatkezelés a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja szerinti hozzájáruláson, vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen alapul; és |
| --- | --- |

a)

az adatkezelés a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja szerinti hozzájáruláson, vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen alapul; és

| b) | az adatkezelés automatizált módon történik. |
| --- | --- |

b)

az adatkezelés automatizált módon történik.

(2)   Az adatok hordozhatóságához való jog (1) bekezdés szerinti gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.

(3)   Az e cikk (1) bekezdésében említett jog gyakorlása nem sértheti a 17. cikket. Az említett jog nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.

(4)   Az (1) bekezdésben említett jog nem érintheti hátrányosan mások jogait és szabadságait.

4. szakasz

A tiltakozáshoz való jog és automatizált döntéshozatal egyedi ügyekben

21. cikk

A tiltakozáshoz való jog

(1)   Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

(2)   Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik.

(3)   Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők.

(4)   Az (1) és (2) bekezdésben említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.

(5)   Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja.

(6)   Ha a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség.

22. cikk

Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást

(1)   Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.

(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha a döntés:

| a) | az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges; |
| --- | --- |

a)

az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;

| b) | meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy |
| --- | --- |

b)

meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy

| c) | az érintett kifejezett hozzájárulásán alapul. |
| --- | --- |

c)

az érintett kifejezett hozzájárulásán alapul.

(3)   A (2) bekezdés a) és c) pontjában említett esetekben az adatkezelő köteles megfelelő intézkedéseket tenni az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében, ideértve az érintettnek legalább azt a jogát, hogy az adatkezelő részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben kifogást nyújtson be.

(4)   A (2) bekezdésben említett döntések nem alapulhatnak a személyes adatoknak a 9. cikk (1) bekezdésében említett különleges kategóriáin, kivéve, ha a 9. cikk (2) bekezdésének a) vagy g) pontja alkalmazandó, és az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében megfelelő intézkedések megtételére került sor.

5. szakasz

Korlátozások

23. cikk

Korlátozások

(1)   Az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban:

| a) | nemzetbiztonság; |
| --- | --- |

a)

nemzetbiztonság;

| b) | honvédelem; |
| --- | --- |

b)

honvédelem;

| c) | közbiztonság; |
| --- | --- |

c)

közbiztonság;

| d) | bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; |
| --- | --- |

d)

bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését;

| e) | az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot; |
| --- | --- |

e)

az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot;

| f) | a bírói függetlenség és a bírósági eljárások védelme; |
| --- | --- |

f)

a bírói függetlenség és a bírósági eljárások védelme;

| g) | a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása; |
| --- | --- |

g)

a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása;

| h) | az a)–e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység; |
| --- | --- |

h)

az a)–e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység;

| i) | az érintett védelme vagy mások jogainak és szabadságainak védelme; |
| --- | --- |

i)

az érintett védelme vagy mások jogainak és szabadságainak védelme;

| j) | polgári jogi követelések érvényesítése. |
| --- | --- |

j)

polgári jogi követelések érvényesítése.

(2)   Az (1) bekezdésben említett jogalkotási intézkedések adott esetben részletes rendelkezéseket tartalmaznak legalább:

| a) | az adatkezelés céljaira vagy az adatkezelés kategóriáira, |
| --- | --- |

a)

az adatkezelés céljaira vagy az adatkezelés kategóriáira,

| b) | a személyes adatok kategóriáira, |
| --- | --- |

b)

a személyes adatok kategóriáira,

| c) | a bevezetett korlátozások hatályára, |
| --- | --- |

c)

a bevezetett korlátozások hatályára,

| d) | a visszaélésre, illetve a jogosulatlan hozzáférésre vagy továbbítás megakadályozását célzó garanciákra, |
| --- | --- |

d)

a visszaélésre, illetve a jogosulatlan hozzáférésre vagy továbbítás megakadályozását célzó garanciákra,

| e) | az adatkezelő meghatározására vagy az adatkezelők kategóriáinak meghatározására, |
| --- | --- |

e)

az adatkezelő meghatározására vagy az adatkezelők kategóriáinak meghatározására,

| f) | az adattárolás időtartamára, valamint az alkalmazandó garanciákra, figyelembe véve az adatkezelés vagy az adatkezelési kategóriák jellegét, hatályát és céljait, |
| --- | --- |

f)

az adattárolás időtartamára, valamint az alkalmazandó garanciákra, figyelembe véve az adatkezelés vagy az adatkezelési kategóriák jellegét, hatályát és céljait,

| g) | az érintettek jogait és szabadságait érintő kockázatokra, és |
| --- | --- |

g)

az érintettek jogait és szabadságait érintő kockázatokra, és

| h) | az érintettek arra vonatkozó jogára, hogy tájékoztatást kapjanak a korlátozásról, kivéve, ha ez hátrányosan befolyásolhatja a korlátozás célját. |
| --- | --- |

h)

az érintettek arra vonatkozó jogára, hogy tájékoztatást kapjanak a korlátozásról, kivéve, ha ez hátrányosan befolyásolhatja a korlátozás célját.

IV. FEJEZET

Az adatkezelő és az adatfeldolgozó

1. szakasz

Általános kötelezettségek

24. cikk

Az adatkezelő feladatai

(1)   Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi.

(2)   Ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz.

(3)   A 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozás felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti kötelezettségeit.

25. cikk

Beépített és alapértelmezett adatvédelem

(1)   Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

(2)   Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.

(3)   A 42. cikk szerinti jóváhagyott tanúsítási mechanizmus felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti az e cikk (1) és (2) bekezdésében előírt követelményeket.

26. cikk

Közös adatkezelők

(1)   Ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg az e rendelet szerinti kötelezettségek teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 13. és a 14. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, kivéve azt az esetet és annyiban, ha és amennyiben az adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg. A megállapodásban az érintettek számára kapcsolattartót lehet kijelölni.

(2)   Az (1) bekezdésben említett megállapodásnak megfelelően tükröznie kell a közös adatkezelők érintettekkel szembeni szerepét és a velük való kapcsolatukat. A megállapodás lényegét az érintett rendelkezésére kell bocsátani.

(3)   Az érintett az (1) bekezdésben említett megállapodás feltételeitől függetlenül mindegyik adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja az e rendelet szerinti jogait.

27. cikk

Az Unióban tevékenységi hellyel nem rendelkező adatkezelők vagy adatfeldolgozók képviselői

(1)   A 3. cikk (2) bekezdésében meghatározott esetben az adatkezelő vagy az adatfeldolgozó írásban uniós képviselőt jelöl ki.

(2)   Az e cikk (1) bekezdésében foglalt kötelezettséget nem kell alkalmazni:

| a) | az alkalmi jellegű adatkezelésre, amely nem terjed ki sem a személyes adatoknak a 9. cikk (1) bekezdésében említett különleges kategóriáira, sem a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelésére, és amely – figyelembe véve az adatkezelés jellegét, körülményeit, hatókörét és céljait – valószínűsíthetően nem jelent kockázatot a természetes személyek jogaira és szabadságaira nézve; vagy |
| --- | --- |

a)

az alkalmi jellegű adatkezelésre, amely nem terjed ki sem a személyes adatoknak a 9. cikk (1) bekezdésében említett különleges kategóriáira, sem a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelésére, és amely – figyelembe véve az adatkezelés jellegét, körülményeit, hatókörét és céljait – valószínűsíthetően nem jelent kockázatot a természetes személyek jogaira és szabadságaira nézve; vagy

| b) | közhatalmi vagy egyéb, közfeladatot ellátó szervekre. |
| --- | --- |

b)

közhatalmi vagy egyéb, közfeladatot ellátó szervekre.

(3)   A képviselőnek tevékenységi hellyel kell rendelkeznie az egyik olyan tagállamban, ahol azon érintettek tartózkodnak, akiknek személyes adatait áruknak vagy szolgáltatásoknak a részükre történő nyújtása során kezelik vagy akiknek a magatartását megfigyelik.

(4)   Az adatkezelő vagy az adatfeldolgozó által a képviselő számára adott megbízásnak ki kell terjednie arra, hogy az adatkezeléssel összefüggő minden ügyben, az e rendeletnek való megfelelés biztosítása érdekében – különösen a felügyeleti hatóságok és az érintettek megkeresésére – az adatkezelő vagy az adatfeldolgozó helyett vagy mellett a képviselő járjon el.

(5)   Az a tény, hogy az adatkezelő vagy az adatfeldolgozó képviselőt jelöl ki, nem érinti az adatkezelővel vagy az adatfeldolgozóval szembeni keresetindításhoz való jogot.

28. cikk

Az adatfeldolgozó

(1)   Ha az adatkezelést az adatkezelő nevében más végzi, az adatkezelő kizárólag olyan adatfeldolgozókat vehet igénybe, akik vagy amelyek megfelelő garanciákat nyújtanak az adatkezelés e rendelet követelményeinek való megfelelését és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtására.

(2)   Az adatfeldolgozó az adatkezelő előzetesen írásban tett eseti vagy általános felhatalmazása nélkül további adatfeldolgozót nem vehet igénybe. Az általános írásbeli felhatalmazás esetén az adatfeldolgozó tájékoztatja az adatkezelőt minden olyan tervezett változásról, amely további adatfeldolgozók igénybevételét vagy azok cseréjét érinti, ezzel biztosítva lehetőséget az adatkezelőnek arra, hogy ezekkel a változtatásokkal szemben kifogást emeljen.

(3)   Az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan – az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó –szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. A szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó:

| a) | a személyes adatokat kizárólag az adatkezelő írásbeli utasításai alapján kezeli – beleértve a személyes adatoknak valamely harmadik ország vagy nemzetközi szervezet számára való továbbítását is –, kivéve akkor, ha az adatkezelést az adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő; ebben az esetben erről a jogi előírásról az adatfeldolgozó az adatkezelőt az adatkezelést megelőzően értesíti, kivéve, ha az adatkezelő értesítését az adott jogszabály fontos közérdekből tiltja; |
| --- | --- |

a)

a személyes adatokat kizárólag az adatkezelő írásbeli utasításai alapján kezeli – beleértve a személyes adatoknak valamely harmadik ország vagy nemzetközi szervezet számára való továbbítását is –, kivéve akkor, ha az adatkezelést az adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő; ebben az esetben erről a jogi előírásról az adatfeldolgozó az adatkezelőt az adatkezelést megelőzően értesíti, kivéve, ha az adatkezelő értesítését az adott jogszabály fontos közérdekből tiltja;

| b) | biztosítja azt, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállalnak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak; |
| --- | --- |

b)

biztosítja azt, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállalnak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak;

| c) | meghozza a 32. cikkben előírt intézkedéseket; |
| --- | --- |

c)

meghozza a 32. cikkben előírt intézkedéseket;

| d) | tiszteletben tartja a további adatfeldolgozó igénybevételére vonatkozóan a (2) és (4) bekezdésben említett feltételeket; |
| --- | --- |

d)

tiszteletben tartja a további adatfeldolgozó igénybevételére vonatkozóan a (2) és (4) bekezdésben említett feltételeket;

| e) | az adatkezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíti az adatkezelőt abban, hogy teljesíteni tudja kötelezettségét az érintett III. fejezetben foglalt jogainak gyakorlásához kapcsolódó kérelmek megválaszolása tekintetében; |
| --- | --- |

e)

az adatkezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíti az adatkezelőt abban, hogy teljesíteni tudja kötelezettségét az érintett III. fejezetben foglalt jogainak gyakorlásához kapcsolódó kérelmek megválaszolása tekintetében;

| f) | segíti az adatkezelőt a 32–36. cikk szerinti kötelezettségek teljesítésében, figyelembe véve az adatkezelés jellegét és az adatfeldolgozó rendelkezésére álló információkat; |
| --- | --- |

f)

segíti az adatkezelőt a 32–36. cikk szerinti kötelezettségek teljesítésében, figyelembe véve az adatkezelés jellegét és az adatfeldolgozó rendelkezésére álló információkat;

| g) | az adatkezelési szolgáltatás nyújtásának befejezését követően az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a meglévő másolatokat, kivéve, ha az uniós vagy a tagállami jog az személyes adatok tárolását írja elő; |
| --- | --- |

g)

az adatkezelési szolgáltatás nyújtásának befejezését követően az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a meglévő másolatokat, kivéve, ha az uniós vagy a tagállami jog az személyes adatok tárolását írja elő;

| h) | az adatkezelő rendelkezésére bocsát minden olyan információt, amely az e cikkben meghatározott kötelezettségek teljesítésének igazolásához szükséges, továbbá amely lehetővé teszi és elősegíti az adatkezelő által vagy az általa megbízott más ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is. |
| --- | --- |

h)

az adatkezelő rendelkezésére bocsát minden olyan információt, amely az e cikkben meghatározott kötelezettségek teljesítésének igazolásához szükséges, továbbá amely lehetővé teszi és elősegíti az adatkezelő által vagy az általa megbízott más ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is.

Az első albekezdés h) pontjával kapcsolatban az adatfeldolgozó haladéktalanul tájékoztatja az adatkezelőt, ha úgy véli, hogy annak valamely utasítása sérti ezt a rendeletet vagy a tagállami vagy uniós adatvédelmi rendelkezéseket.

(4)   Ha az adatfeldolgozó bizonyos, az adatkezelő nevében végzett konkrét adatkezelési tevékenységekhez további adatfeldolgozó szolgáltatásait is igénybe veszi, uniós vagy tagállami jog alapján létrejött szerződés vagy más jogi aktus útján erre a további adatfeldolgozóra is ugyanazok az adatvédelmi kötelezettségeket kell telepíteni, mint amelyek az adatkezelő és az adatfeldolgozó között létrejött, a (3) bekezdésben említett szerződésben vagy egyéb jogi aktusban szerepelnek, különösen úgy, hogy a további adatfeldolgozónak megfelelő garanciákat kell nyújtania a megfelelő technikai és szervezési intézkedések végrehajtására, és ezáltal biztosítania kell, hogy az adatkezelés megfeleljen e rendelet követelményeinek. Ha a további adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit, az őt megbízó adatfeldolgozó teljes felelősséggel tartozik az adatkezelő felé a további adatfeldolgozó kötelezettségeinek a teljesítéséért.

(5)   A 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozás felhasználható annak bizonyítása részeként, hogy az adatfeldolgozó biztosítja az (1) és (4) bekezdésben említett megfelelő garanciákat.

(6)   Az adatkezelő és az adatfeldolgozó közötti egyedi szerződés sérelme nélkül az e cikk (3) és (4) bekezdésében említett szerződés vagy más jogi aktus teljes egészében vagy részben az e cikk (7) és (8) bekezdésében említett általános szerződési feltételeken alapulhat, beleértve azt is, amikor ezek a 42. és a 43. cikk alapján az adatkezelőnek vagy az adatfeldolgozónak megadott tanúsítvány részét képezik.

(7)   A Bizottság – a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően – általános szerződési feltételeket határozhat meg az e cikk (3) és (4) bekezdésében foglaltakra vonatkozóan.

(8)   A felügyeleti hatóságok a 63. cikkben említett egységességi mechanizmusnak megfelelően általános szerződési feltételeket fogadhatnak el az e cikk (3) és (4) bekezdésében foglaltakra vonatkozóan.

(9)   A (3) és (4) bekezdésben említett szerződést vagy más jogi aktust írásba kell foglalni, ideértve az elektronikus formátumot is.

(10)   A 82., 83. és 84. cikk sérelme nélkül, ha egy adatfeldolgozó e rendeletet sértve maga határozza meg az adatkezelés céljait és eszközeit, akkor őt az adott adatkezelés tekintetében adatkezelőnek kell tekinteni.

29. cikk

Az adatkezelő vagy az adatfeldolgozó irányítása alatt végzett adatkezelés

Az adatfeldolgozó és bármely, az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező személy ezeket az adatokat kizárólag az adatkezelő utasításának megfelelően kezelheti, kivéve, ha az ettől való eltérésre őt uniós vagy tagállami jog kötelezi.

30. cikk

Az adatkezelési tevékenységek nyilvántartása

(1)   Minden adatkezelő és – ha van ilyen – az adatkezelő képviselője a felelősségébe tartozóan végzett adatkezelési tevékenységekről nyilvántartást vezet. E nyilvántartás a következő információkat tartalmazza:

| a) | az adatkezelő neve és elérhetősége, valamint – ha van ilyen – a közös adatkezelőnek, az adatkezelő képviselőjének és az adatvédelmi tisztviselőnek a neve és elérhetősége; |
| --- | --- |

a)

az adatkezelő neve és elérhetősége, valamint – ha van ilyen – a közös adatkezelőnek, az adatkezelő képviselőjének és az adatvédelmi tisztviselőnek a neve és elérhetősége;

| b) | az adatkezelés céljai; |
| --- | --- |

b)

az adatkezelés céljai;

| c) | az érintettek kategóriáinak, valamint a személyes adatok kategóriáinak ismertetése; |
| --- | --- |

c)

az érintettek kategóriáinak, valamint a személyes adatok kategóriáinak ismertetése;

| d) | olyan címzettek kategóriái, akikkel a személyes adatokat közlik vagy közölni fogják, ideértve a harmadik országbeli címzetteket vagy nemzetközi szervezeteket; |
| --- | --- |

d)

olyan címzettek kategóriái, akikkel a személyes adatokat közlik vagy közölni fogják, ideértve a harmadik országbeli címzetteket vagy nemzetközi szervezeteket;

| e) | adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására vonatkozó információk, beleértve a harmadik ország vagy a nemzetközi szervezet azonosítását, valamint a 49. cikk (1) bekezdésének második albekezdés szerinti továbbítás esetében a megfelelő garanciák leírása; |
| --- | --- |

e)

adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására vonatkozó információk, beleértve a harmadik ország vagy a nemzetközi szervezet azonosítását, valamint a 49. cikk (1) bekezdésének második albekezdés szerinti továbbítás esetében a megfelelő garanciák leírása;

| f) | ha lehetséges, a különböző adatkategóriák törlésére előirányzott határidők; |
| --- | --- |

f)

ha lehetséges, a különböző adatkategóriák törlésére előirányzott határidők;

| g) | ha lehetséges, a 32. cikk (1) bekezdésében említett technikai és szervezési intézkedések általános leírása. |
| --- | --- |

g)

ha lehetséges, a 32. cikk (1) bekezdésében említett technikai és szervezési intézkedések általános leírása.

(2)   Minden adatfeldolgozó és – ha van ilyen – az adatfeldolgozó képviselője nyilvántartást vezet az adatkezelő nevében végzett adatkezelési tevékenységek minden kategóriájáról; a nyilvántartás a következő információkat tartalmazza:

| a) | az adatfeldolgozó vagy adatfeldolgozók neve és elérhetőségei, és minden olyan adatkezelő neve és elérhetőségei, amelynek vagy akinek a nevében az adatfeldolgozó eljár, továbbá – ha van ilyen – az adatkezelő vagy az adatfeldolgozó képviselőjének, valamint az adatvédelmi tisztviselőnek a neve és elérhetőségei; |
| --- | --- |

a)

az adatfeldolgozó vagy adatfeldolgozók neve és elérhetőségei, és minden olyan adatkezelő neve és elérhetőségei, amelynek vagy akinek a nevében az adatfeldolgozó eljár, továbbá – ha van ilyen – az adatkezelő vagy az adatfeldolgozó képviselőjének, valamint az adatvédelmi tisztviselőnek a neve és elérhetőségei;

| b) | az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriái; |
| --- | --- |

b)

az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriái;

| c) | adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása, beleértve a harmadik ország vagy a nemzetközi szervezet azonosítását, valamint a 49. cikk (1) bekezdésének második albekezdése szerinti továbbítás esetében a megfelelő garanciák leírása; |
| --- | --- |

c)

adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása, beleértve a harmadik ország vagy a nemzetközi szervezet azonosítását, valamint a 49. cikk (1) bekezdésének második albekezdése szerinti továbbítás esetében a megfelelő garanciák leírása;

| d) | ha lehetséges, a 32. cikk (1) bekezdésében említett technikai és szervezési intézkedések általános leírása. |
| --- | --- |

d)

ha lehetséges, a 32. cikk (1) bekezdésében említett technikai és szervezési intézkedések általános leírása.

(3)   Az (1) és (2) bekezdésben említett nyilvántartást írásban kell vezetni, ideértve az elektronikus formátumot is.

(4)   Az adatkezelő vagy az adatfeldolgozó, valamint – ha van ilyen – az adatkezelő vagy az adatfeldolgozó képviselője megkeresés alapján a felügyeleti hatóság részére rendelkezésére bocsátja a nyilvántartást.

(5)   Az (1) és (2) bekezdésben foglalt kötelezettségek nem vonatkoznak a 250 főnél kevesebb személyt foglalkoztató vállalkozásra vagy szervezetre, kivéve, ha az általa végzett adatkezelés az érintettek jogaira és szabadságaira nézve valószínűsíthetően kockázattal jár, ha az adatkezelés nem alkalmi jellegű, vagy ha az adatkezelés kiterjed a személyes adatok 9. cikk (1) bekezdésében említett különleges kategóriáinak vagy a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatoknak a kezelésére.

31. cikk

Együttműködés a felügyeleti hatósággal

Az adatkezelő és az adatfeldolgozó, valamint – ha van ilyen – az adatkezelő vagy az adatfeldolgozó képviselője feladatai végrehajtása során a felügyeleti hatósággal – annak megkeresése alapján – együttműködik.

2. szakasz

Adatbiztonság

32. cikk

Az adatkezelés biztonsága

(1)   Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:

| a) | a személyes adatok álnevesítését és titkosítását; |
| --- | --- |

a)

a személyes adatok álnevesítését és titkosítását;

| b) | a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét; |
| --- | --- |

b)

a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét;

| c) | fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani; |
| --- | --- |

c)

fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;

| d) | az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást. |
| --- | --- |

d)

az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást.

(2)   A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.

(3)   Az adatkezelő, illetve az adatfeldolgozó 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozását felhasználhatja annak bizonyítása részeként, hogy az e cikk (1) bekezdésében meghatározott követelményeket teljesíti.

(4)   Az adatkezelő és az adatfeldolgozó intézkedéseket hoz annak biztosítására, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket.

33. cikk

Az adatvédelmi incidens bejelentése a felügyeleti hatóságnak

(1)   Az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az 55. cikk alapján illetékes felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.

(2)   Az adatfeldolgozó az adatvédelmi incidenst, az arról való tudomásszerzését követően indokolatlan késedelem nélkül bejelenti az adatkezelőnek.

(3)   Az (1) bekezdésben említett bejelentésben legalább:

| a) | ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát; |
| --- | --- |

a)

ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát;

| b) | közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit; |
| --- | --- |

b)

közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit;

| c) | ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket; |
| --- | --- |

c)

ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;

| d) | ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket. |
| --- | --- |

d)

ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

(4)   Ha és amennyiben nem lehetséges az információkat egyidejűleg közölni, azok további indokolatlan késedelem nélkül később részletekben is közölhetők.

(5)   Az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést.

34. cikk

Az érintett tájékoztatása az adatvédelmi incidensről

(1)   Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.

(2)   Az (1) bekezdésben említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább a 33. cikk (3) bekezdésének b), c) és d) pontjában említett információkat és intézkedéseket.

(3)   Az érintettet nem kell az (1) bekezdésben említettek szerint tájékoztatni, ha a következő feltételek bármelyike teljesül:

| a) | az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat; |
| --- | --- |

a)

az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;

| b) | az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, az (1) bekezdésben említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg; |
| --- | --- |

b)

az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, az (1) bekezdésben említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;

| c) | a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását. |
| --- | --- |

c)

a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.

(4)   Ha az adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett tájékoztatását, vagy megállapíthatja a (3) bekezdésben említett feltételek valamelyikének teljesülését.

3. szakasz

Adatvédelmi hatásvizsgálat és előzetes konzultáció

35. cikk

Adatvédelmi hatásvizsgálat

(1)   Ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa –, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az adatkezelő az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Olyan egymáshoz hasonló típusú adatkezelési műveletek, amelyek egymáshoz hasonló magas kockázatokat jelentenek, egyetlen hatásvizsgálat keretei között is értékelhetőek.

(2)   Ha van kijelölt adatvédelmi tisztviselő, az adatkezelő az adatvédelmi hatásvizsgálat elvégzésekor az adatvédelmi tisztviselő szakmai tanácsát köteles kikérni.

(3)   Az (1) bekezdésben említett adatvédelmi hatásvizsgálatot különösen az alábbi esetekben kell elvégezni:

| a) | természetes személyekre vonatkozó egyes személyes jellemzők olyan módszeres és kiterjedt értékelése, amely automatizált adatkezelésen – ideértve a profilalkotást is –alapul, és amelyre a természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések épülnek; |
| --- | --- |

a)

természetes személyekre vonatkozó egyes személyes jellemzők olyan módszeres és kiterjedt értékelése, amely automatizált adatkezelésen – ideértve a profilalkotást is –alapul, és amelyre a természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések épülnek;

| b) | a 9. cikk (1) bekezdésében említett személyes adatok különleges kategóriái, vagy a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelése; vagy |
| --- | --- |

b)

a 9. cikk (1) bekezdésében említett személyes adatok különleges kategóriái, vagy a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelése; vagy

| c) | nyilvános helyek nagymértékű, módszeres megfigyelése. |
| --- | --- |

c)

nyilvános helyek nagymértékű, módszeres megfigyelése.

(4)   A felügyeleti hatóságnak össze kell állítania és nyilvánosságra kell hoznia az olyan adatkezelési műveletek típusainak a jegyzékét, amelyekre vonatkozóan az (1) bekezdés értelmében adatvédelmi hatásvizsgálatot kell végezni. A felügyeleti hatóság továbbítja az említett jegyzékeket a Testület részére.

(5)   A felügyeleti hatóság összeállíthatja és nyilvánosságra hozhatja az olyan adatkezelési műveletek típusainak a jegyzékét is, amelyekre vonatkozóan nem kell adatvédelmi hatásvizsgálatot végezni. A felügyeleti hatóság továbbítja ezeket a jegyzékeket a Testület részére.

(6)   A (4) és (5) bekezdésben említett jegyzékek elfogadását megelőzően az illetékes felügyeleti hatóság igénybe veszi a 63. cikkben említett egységességi mechanizmust, ha ezek a jegyzékek olyan adatkezelési tevékenységeket tartalmaznak, amelyek az érintettek számára történő, több tagállamra kiterjedő áru- vagy szolgáltatás nyújtásához vagy az érintettek viselkedésének több tagállamra kiterjedő megfigyeléséhez kapcsolódnak, vagy érdemben érinthetik a személyes adatok Unión belüli szabad áramlását.

(7)   A hatásvizsgálat kiterjed legalább:

| a) | a tervezett adatkezelési műveletek módszeres leírására és az adatkezelés céljainak ismertetésére, beleértve adott esetben az adatkezelő által érvényesíteni kívánt jogos érdeket; |
| --- | --- |

a)

a tervezett adatkezelési műveletek módszeres leírására és az adatkezelés céljainak ismertetésére, beleértve adott esetben az adatkezelő által érvényesíteni kívánt jogos érdeket;

| b) | az adatkezelés céljaira figyelemmel az adatkezelési műveletek szükségességi és arányossági vizsgálatára; |
| --- | --- |

b)

az adatkezelés céljaira figyelemmel az adatkezelési műveletek szükségességi és arányossági vizsgálatára;

| c) | az (1) bekezdésben említett, az érintett jogait és szabadságait érintő kockázatok vizsgálatára; és |
| --- | --- |

c)

az (1) bekezdésben említett, az érintett jogait és szabadságait érintő kockázatok vizsgálatára; és

| d) | a kockázatok kezelését célzó intézkedések bemutatására, ideértve a személyes adatok védelmét és az e rendelettel való összhang igazolását szolgáló, az érintettek és más személyek jogait és jogos érdekeit figyelembe vevő garanciákat, biztonsági intézkedéseket és mechanizmusokat. |
| --- | --- |

d)

a kockázatok kezelését célzó intézkedések bemutatására, ideértve a személyes adatok védelmét és az e rendelettel való összhang igazolását szolgáló, az érintettek és más személyek jogait és jogos érdekeit figyelembe vevő garanciákat, biztonsági intézkedéseket és mechanizmusokat.

(8)   Az adatkezelők, illetve adatfeldolgozók által végzett adatkezelési műveletek hatásainak értékelése – különösen az adatvédelmi hatásvizsgálatok – során megfelelően figyelembe kell venni, hogy a szóban forgó adatkezelők, illetve adatfeldolgozók teljesítik-e a 40. cikkben említett jóváhagyott magatartási kódexek előírásait.

(9)   Az adatkezelő adott esetben – a kereskedelmi érdekek vagy a közérdek védelmének vagy az adatkezelési műveletek biztonságának sérelme nélkül – kikéri az érintettek vagy képviselőik véleményét a tervezett adatkezelésről.

(10)   Ha a 6. cikk (1) bekezdésének c) vagy e) pontja szerinti adatkezelés jogalapját uniós vagy az adatkezelőre alkalmazandó tagállami jog írja elő, és e jog a szóban forgó konkrét adatkezelési műveletet vagy műveleteket is szabályozza, valamint e jogalap elfogadása során egy általános hatásvizsgálat részeként már végeztek adatvédelmi hatásvizsgálatot, akkor az (1)–(7) bekezdést nem kell alkalmazni, kivéve, ha a tagállamok az adatkezelési tevékenységet megelőzően ilyen hatásvizsgálat elvégzését szükségesnek tartják.

(11)   Az adatkezelő szükség szerint, de legalább az adatkezelési műveletek által jelentett kockázat változása esetén ellenőrzést folytat le annak értékelése céljából, hogy a személyes adatok kezelése az adatvédelmi hatásvizsgálatnak megfelelően történik-e.

36. cikk

Előzetes konzultáció

(1)   Ha a 35. cikkben előírt adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés az adatkezelő által a kockázat mérséklése céljából tett intézkedések hiányában valószínűsíthetően magas kockázattal jár, a személyes adatok kezelését megelőzően az adatkezelő konzultál a felügyeleti hatósággal.

(2)   Ha a felügyeleti hatóság véleménye szerint az (1) bekezdés szerint tervezett adatkezelés megsértené e rendeletet – különösen, ha az adatkezelő a kockázatot nem elégséges módon azonosította vagy csökkentette –, a felügyeleti hatóság az adatkezelőnek és adott esetben az adatfeldolgozónak legkésőbb a konzultáció iránti megkeresés kézhezvételétől számított nyolc héten belül írásban tanácsot ad, továbbá gyakorolhatja az 58. cikkben említett hatásköreit. Ez a határidő – a tervezett adatkezelés összetettségétől függően – hat héttel meghosszabbítható. A felügyeleti hatóság a megkeresés kézhezvételétől számított egy hónapon belül tájékoztatja az adatkezelőt vagy adott esetben az adatfeldolgozót a meghosszabbításról és a késedelem okairól. Az említett időtartamok felfüggeszthetők arra az időtartamra, amíg a felügyeleti hatóság nem jut hozzá azokhoz az információkhoz, amelyeket adott esetben a konzultáció céljából kért.

(3)   Az adatkezelő a felügyeleti hatósággal folytatott, (1) bekezdés szerinti konzultáció során a felügyeleti hatóságot tájékoztatja:

| a) | adott esetben az adatkezelésben részt vevő adatkezelő, közös adatkezelők és adatfeldolgozók feladatköreiről, különösen vállalkozáscsoporton belüli adatkezelés esetén; |
| --- | --- |

a)

adott esetben az adatkezelésben részt vevő adatkezelő, közös adatkezelők és adatfeldolgozók feladatköreiről, különösen vállalkozáscsoporton belüli adatkezelés esetén;

| b) | a tervezett adatkezelés céljairól és módjairól; |
| --- | --- |

b)

a tervezett adatkezelés céljairól és módjairól;

| c) | az érintettek e rendelet értelmében fennálló jogainak és szabadságainak védelmében hozott intézkedésekről és garanciákról; |
| --- | --- |

c)

az érintettek e rendelet értelmében fennálló jogainak és szabadságainak védelmében hozott intézkedésekről és garanciákról;

| d) | adott esetben, az adatvédelmi tisztviselő elérhetőségeiről; |
| --- | --- |

d)

adott esetben, az adatvédelmi tisztviselő elérhetőségeiről;

| e) | a 35. cikk szerinti adatvédelmi hatásvizsgálatról; és |
| --- | --- |

e)

a 35. cikk szerinti adatvédelmi hatásvizsgálatról; és

| f) | a felügyeleti hatóság által kért minden egyéb információról. |
| --- | --- |

f)

a felügyeleti hatóság által kért minden egyéb információról.

(4)   A tagállamok konzultálnak a felügyeleti hatósággal minden, a személyes adatok kezeléséhez kapcsolódó, a nemzeti parlament által elfogadandó jogalkotási intézkedésre – vagy ilyen jogalkotási intézkedésen alapuló szabályozási intézkedésre – irányuló javaslat előkészítése során.

(5)   Az (1) bekezdéstől eltérve a tagállami jog előírhatja, hogy az adatkezelők konzultáljanak a felügyeleti hatósággal, és szerezzék be a felügyeleti hatóság előzetes engedélyét akkor is, ha valamely közérdek alapján ellátandó feladat végrehajtásához kapcsolódóan kezelnek személyes adatokat, ideértve a személyes adatoknak a szociális védelemhez és a népegészségügyhöz kapcsolódó kezelését is.

4. szakasz

Adatvédelmi tisztviselő

37. cikk

Az adatvédelmi tisztviselő kijelölése

(1)   Az adatkezelő és az adatfeldolgozó adatvédelmi tisztviselőt jelöl ki minden olyan esetben, amikor:

| a) | az adatkezelést közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek végzik, kivéve az igazságszolgáltatási feladatkörükben eljáró bíróságokat; |
| --- | --- |

a)

az adatkezelést közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek végzik, kivéve az igazságszolgáltatási feladatkörükben eljáró bíróságokat;

| b) | az adatkezelő vagy az adatfeldolgozó fő tevékenységei olyan adatkezelési műveleteket foglalnak magukban, amelyek jellegüknél, hatókörüknél és/vagy céljaiknál fogva az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé; |
| --- | --- |

b)

az adatkezelő vagy az adatfeldolgozó fő tevékenységei olyan adatkezelési műveleteket foglalnak magukban, amelyek jellegüknél, hatókörüknél és/vagy céljaiknál fogva az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé;

| c) | az adatkezelő vagy az adatfeldolgozó fő tevékenységei a személyes adatok 9. cikk szerinti különleges kategóriáinak és a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó adatok nagy számban történő kezelését foglalják magukban. |
| --- | --- |

c)

az adatkezelő vagy az adatfeldolgozó fő tevékenységei a személyes adatok 9. cikk szerinti különleges kategóriáinak és a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó adatok nagy számban történő kezelését foglalják magukban.

(2)   A vállalkozáscsoport közös adatvédelmi tisztviselőt is kijelölhet, ha az adatvédelmi tisztviselő valamennyi tevékenységi helyről könnyen elérhető.

(3)   Ha az adatkezelő vagy az adatfeldolgozó közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv, közös adatvédelmi tisztviselő jelölhető ki több ilyen szerv számára, az adott szervek szervezeti felépítésének és méretének figyelembevételével.

(4)   Az (1) bekezdésben foglaltaktól eltérő esetekben az adatkezelő vagy az adatfeldolgozó, illetve az adatkezelők vagy adatfeldolgozók kategóriáit képviselő egyesületek és egyéb szervezetek adatvédelmi tisztviselőt jelölhetnek ki, vagy ha ezt uniós vagy tagállami jog írja elő, kötelesek kijelölni. Az adatkezelőket vagy adatfeldolgozókat képviselő ilyen egyesületek és egyéb szervezetek nevében az adatvédelmi tisztviselő eljárhat.

(5)   Az adatvédelmi tisztviselőt szakmai rátermettség és különösen az adatvédelmi jog és gyakorlat szakértői szintű ismerete, valamint a 39. cikkben említett feladatok ellátására való alkalmasság alapján kell kijelölni.

(6)   Az adatvédelmi tisztviselő az adatkezelő vagy az adatfeldolgozó alkalmazottja lehet, vagy szolgáltatási szerződés keretében láthatja el a feladatait.

(7)   Az adatkezelő vagy az adatfeldolgozó közzéteszi az adatvédelmi tisztviselő nevét és elérhetőségét, és azokat a felügyeleti hatósággal közli.

38. cikk

Az adatvédelmi tisztviselő jogállása

(1)   Az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a személyes adatok védelmével kapcsolatos összes ügybe megfelelő módon és időben bekapcsolódjon.

(2)   Az adatkezelő és az adatfeldolgozó támogatja az adatvédelmi tisztviselőt a 39. cikkben említett feladatai ellátásában azáltal, hogy biztosítja számára azokat az forrásokat, amelyek e feladatok végrehajtásához, a személyes adatokhoz és az adatkezelési műveletekhez való hozzáféréshez, valamint az adatvédelmi tisztviselő szakértői szintű ismereteinek fenntartásához szükségesek.

(3)   Az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el. Az adatkezelő vagy az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem bocsáthatja el és szankcióval nem sújthatja. Az adatvédelmi tisztviselő közvetlenül az adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel.

(4)   Az érintettek a személyes adataik kezeléséhez és az e rendelet szerinti jogaik gyakorlásához kapcsolódó valamennyi kérdésben az adatvédelmi tisztviselőhöz fordulhatnak.

(5)   Az adatvédelmi tisztviselőt feladatai teljesítésével kapcsolatban uniós vagy tagállami jogban meghatározott titoktartási kötelezettség vagy az adatok bizalmas kezelésére vonatkozó kötelezettség köti.

(6)   Az adatvédelmi tisztviselő más feladatokat is elláthat. Az adatkezelő vagy az adatfeldolgozó biztosítja, hogy e feladatokból ne fakadjon összeférhetetlenség.

39. cikk

Az adatvédelmi tisztviselő feladatai

(1)   Az adatvédelmi tisztviselő legalább a következő feladatokat ellátja:

| a) | tájékoztat és szakmai tanácsot ad az adatkezelő vagy az adatfeldolgozó, továbbá az adatkezelést végző alkalmazottak részére az e rendelet, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban; |
| --- | --- |

a)

tájékoztat és szakmai tanácsot ad az adatkezelő vagy az adatfeldolgozó, továbbá az adatkezelést végző alkalmazottak részére az e rendelet, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban;

| b) | ellenőrzi az e rendeletnek, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezéseknek, továbbá az adatkezelő vagy az adatfeldolgozó személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben vevő személyzet tudatosság-növelését és képzését, valamint a kapcsolódó auditokat is; |
| --- | --- |

b)

ellenőrzi az e rendeletnek, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezéseknek, továbbá az adatkezelő vagy az adatfeldolgozó személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben vevő személyzet tudatosság-növelését és képzését, valamint a kapcsolódó auditokat is;

| c) | kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi a hatásvizsgálat 35. cikk szerinti elvégzését; |
| --- | --- |

c)

kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi a hatásvizsgálat 35. cikk szerinti elvégzését;

| d) | együttműködik a felügyeleti hatósággal; és |
| --- | --- |

d)

együttműködik a felügyeleti hatósággal; és

| e) | az adatkezeléssel összefüggő ügyekben – ideértve a 36. cikkben említett előzetes konzultációt is – kapcsolattartó pontként szolgál a felügyeleti hatóság felé, valamint adott esetben bármely egyéb kérdésben konzultációt folytat vele. |
| --- | --- |

e)

az adatkezeléssel összefüggő ügyekben – ideértve a 36. cikkben említett előzetes konzultációt is – kapcsolattartó pontként szolgál a felügyeleti hatóság felé, valamint adott esetben bármely egyéb kérdésben konzultációt folytat vele.

(2)   Az adatvédelmi tisztviselő feladatait az adatkezelési műveletekhez fűződő kockázat megfelelő figyelembevételével, az adatkezelés jellegére, hatókörére, körülményére és céljára is tekintettel végzi.

5. szakasz

Magatartási kódexek és tanúsítás

40. cikk

Magatartási kódexek

(1)   A tagállamok, a felügyeleti hatóságok, a Testület és a Bizottság ösztönzik olyan magatartási kódexek kidolgozását, amelyek – a különböző adatkezelő ágazatok egyedi jellemzőinek, valamint a mikro-, kis- és középvállalkozások sajátos igényeinek figyelembevételével – segítik e rendelet helyes alkalmazását.

(2)   Az adatkezelők vagy az adatfeldolgozók kategóriáit képviselő egyesületek és egyéb szervezetek magatartási kódexeket dolgozhatnak ki, illetve a már meglévő magatartási kódexeket módosíthatják vagy bővíthetik abból a célból, hogy pontosítsák e rendelet alkalmazását, így például az alábbiakkal kapcsolatban:

| a) | tisztességes és átlátható adatkezelés; |
| --- | --- |

a)

tisztességes és átlátható adatkezelés;

| b) | az adatkezelők jogos érdekei meghatározott körülmények között; |
| --- | --- |

b)

az adatkezelők jogos érdekei meghatározott körülmények között;

| c) | az adatgyűjtés; |
| --- | --- |

c)

az adatgyűjtés;

| d) | személyes adatok álnevesítése; |
| --- | --- |

d)

személyes adatok álnevesítése;

| e) | a nyilvánosság és az érintettek tájékoztatása; |
| --- | --- |

e)

a nyilvánosság és az érintettek tájékoztatása;

| f) | az érintettek jogainak gyakorlása; |
| --- | --- |

f)

az érintettek jogainak gyakorlása;

| g) | a gyermekek tájékoztatása és védelme, valamint a szülői felügyelet gyakorlójától származó hozzájárulás kikérésének módja; |
| --- | --- |

g)

a gyermekek tájékoztatása és védelme, valamint a szülői felügyelet gyakorlójától származó hozzájárulás kikérésének módja;

| h) | a 24. és a 25. cikkben említett intézkedések és eljárások, valamint a 32. cikkben említett, az adatkezelés biztonságát szolgáló intézkedések; |
| --- | --- |

h)

a 24. és a 25. cikkben említett intézkedések és eljárások, valamint a 32. cikkben említett, az adatkezelés biztonságát szolgáló intézkedések;

| i) | a felügyeleti hatóságok értesítése, valamint az érintettek tájékoztatása az adatvédelmi incidensekről; |
| --- | --- |

i)

a felügyeleti hatóságok értesítése, valamint az érintettek tájékoztatása az adatvédelmi incidensekről;

| j) | a személyes adatok harmadik országok vagy nemzetközi szervezetek részére történő továbbítása; vagy |
| --- | --- |

j)

a személyes adatok harmadik országok vagy nemzetközi szervezetek részére történő továbbítása; vagy

| k) | az adatkezelő és az érintettek között az adatkezeléssel kapcsolatban felmerülő vitás ügyek megoldására irányuló, nem bírósági útra tartozó eljárások és egyéb vitarendezési eljárások, az érintettek 77. és 79. cikk szerinti jogainak sérelme nélkül. |
| --- | --- |

k)

az adatkezelő és az érintettek között az adatkezeléssel kapcsolatban felmerülő vitás ügyek megoldására irányuló, nem bírósági útra tartozó eljárások és egyéb vitarendezési eljárások, az érintettek 77. és 79. cikk szerinti jogainak sérelme nélkül.

(3)   Az e rendelet hatálya alá tartozó adatkezelők vagy adatfeldolgozók általi betartása mellett a 3. cikk értelmében e rendelet hatálya alá nem tartozó adatkezelők vagy adatfeldolgozók is betarthatják az e cikk (5) bekezdése szerint jóváhagyott és e cikk (9) bekezdése alapján általános érvénnyel rendelkező magatartási kódexeket annak érdekében, hogy a 46. cikk (2) bekezdésének e) pontjában foglalt feltételekkel összhangban megfelelő garanciákat nyújtsanak a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása keretében. Az ilyen adatkezelők vagy adatfeldolgozók szerződéses vagy egyéb, jogilag kötelező erejű eszközök révén kötelező erejű és kikényszeríthető kötelezettségvállalást tesznek arra, hogy alkalmazzák a megfelelő garanciákat, ideértve az érintettek jogaira vonatkozókat is.

(4)   Az 55. vagy az 56. cikk alapján illetékes felügyeleti hatóság feladat- és hatáskörének sérelme nélkül az e cikk (2) bekezdése szerinti magatartási kódexek olyan mechanizmusokat határoznak meg, amelyek lehetővé teszik a 41. cikk (1) bekezdésében említett szervezet számára, hogy elvégezze annak kötelező ellenőrzését, hogy a kódex alkalmazását vállaló adatkezelők vagy adatfeldolgozók megfelelnek-e a kódex rendelkezéseinek.

(5)   Ha az e cikk (2) bekezdésében említett egyesületek és egyéb szervezetek magatartási kódexet kívánnak kidolgozni vagy meglévő kódexet kívánnak módosítani vagy kibővíteni, a kódextervezetet, a módosítást vagy a kiegészítést benyújtják az 55. cikk alapján illetékes felügyeleti hatóságnak. A felügyeleti hatóság véleményt bocsát ki arról, hogy a kódextervezet, a módosítás vagy a kiegészítés összhangban van-e ezzel a rendelettel, és jóváhagyja a kódextervezetet, a módosítást vagy a kiegészítést, amennyiben megállapítja, hogy az elegendő és megfelelő garanciát nyújt.

(6)   Ha a kódextervezetet, a módosítást vagy a kiegészítést jóváhagyják az (5) bekezdésben foglaltak szerint és ha az érintett magatartási kódex nem vonatkozik több tagállamot érintő adatkezelési tevékenységekre, a felügyeleti hatóság a kódexet nyilvántartásba veszi és közzéteszi.

(7)   Ha a magatartási kódex tervezete több tagállamot is érintő adatkezelési tevékenységekre vonatkozik, az 55. cikk alapján illetékes felügyeleti hatóság a kódextervezet, a módosítás vagy a kiegészítés jóváhagyását megelőzően a 63. cikkben említett eljárás keretében benyújtja azt a Testületnek, amely véleményt bocsát ki arról, hogy a kódextervezet, a módosítás vagy a kiegészítés összhangban van-e ezen rendelettel, illetve az e cikk (3) bekezdésében említett esetben arról, hogy megfelelő garanciákat nyújt-e.

(8)   Ha a (7) bekezdésben említett vélemény megerősíti, hogy a magatartási kódex tervezete, a módosítás vagy a kiegészítés összhangban van e rendelettel, illetve a (3) bekezdésben említett esetben azt, hogy megfelelő garanciákat nyújt, a Testület benyújtja véleményét a Bizottságnak.

(9)   A Bizottság végrehajtási jogi aktusok útján határozhat arról, hogy a hozzá az e cikk (8) bekezdése szerint benyújtott, jóváhagyott magatartási kódex, módosítás vagy kiegészítés az Unió területén általános érvénnyel rendelkezik. Ezeket a végrehajtási jogi aktusokat a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

(10)   A Bizottság biztosítja azon jóváhagyott kódexek megfelelő nyilvánosságát, amelyek esetében a (9) bekezdéssel összhangban úgy határozott, hogy általánosan érvényesek.

(11)   A Testület valamennyi jóváhagyott magatartási kódexet, módosítást és kiegészítést egy nyilvántartásban állítja össze, és megfelelő módon nyilvánosan elérhetővé teszi őket.

41. cikk

A jóváhagyott magatartási kódexeknek való megfelelés ellenőrzése

(1)   Az 57. vagy az 58. cikk alapján illetékes felügyeleti hatóság feladat- és hatásköreinek sérelme nélkül a 40. cikk szerinti magatartási kódexnek való megfelelés ellenőrzését olyan szervezet végezheti, amely a kódex tárgya tekintetében megfelelő szakértelemmel rendelkezik, és amelyet az illetékes felügyeleti hatóság erre akkreditál.

(2)   Az (1) bekezdésben említett szervezetet a magatartási kódexnek való megfelelés ellenőrzésére abban az esetben lehet akkreditálni, ha a szervezet:

| a) | az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltatott arra nézve, hogy független, és a kódex tárgyában szakértelemmel bír; |
| --- | --- |

a)

az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltatott arra nézve, hogy független, és a kódex tárgyában szakértelemmel bír;

| b) | létrehozott olyan eljárásokat, amelyek révén meg tudja állapítani, hogy az érintett adatkezelők és adatfeldolgozók alkalmasak-e a kódex alkalmazására, ellenőrizni tudja, hogy az érintett adatkezelők és adatfeldolgozók betartják-e a kódex rendelkezéseit, és rendszeres időközönként felül tudja vizsgálni a kódex működését; |
| --- | --- |

b)

létrehozott olyan eljárásokat, amelyek révén meg tudja állapítani, hogy az érintett adatkezelők és adatfeldolgozók alkalmasak-e a kódex alkalmazására, ellenőrizni tudja, hogy az érintett adatkezelők és adatfeldolgozók betartják-e a kódex rendelkezéseit, és rendszeres időközönként felül tudja vizsgálni a kódex működését;

| c) | létrehozott olyan eljárásokat és struktúrákat, amelyek révén kezelni tudja a kódex megsértésével vagy a kódex adatkezelő vagy adatfeldolgozó általi alkalmazásával kapcsolatos panaszokat, és ezeket az eljárásokat és struktúrákat az érintettek és a nyilvánosság számára átláthatóvá teszi; és |
| --- | --- |

c)

létrehozott olyan eljárásokat és struktúrákat, amelyek révén kezelni tudja a kódex megsértésével vagy a kódex adatkezelő vagy adatfeldolgozó általi alkalmazásával kapcsolatos panaszokat, és ezeket az eljárásokat és struktúrákat az érintettek és a nyilvánosság számára átláthatóvá teszi; és

| d) | az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltat arra nézve, hogy feladataival kapcsolatban nem áll fenn összeférhetetlenség. |
| --- | --- |

d)

az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltat arra nézve, hogy feladataival kapcsolatban nem áll fenn összeférhetetlenség.

(3)   A 63. cikkben említett, egységességi mechanizmusnak megfelelően az illetékes felügyeleti hatóság az e cikk (1) bekezdésében említett szervezet akkreditációjával kapcsolatos szempontok tervezetét a Testületnek benyújtja.

(4)   Az illetékes felügyeleti hatóság feladat- és hatásköreinek, valamint a VIII. fejezet rendelkezéseinek sérelme nélkül az e cikk (1) bekezdésében említett szervezet a kódex valamely adatkezelő vagy adatfeldolgozó általi megsértése esetén – megfelelő garanciák mellett – megfelelő intézkedéseket tesz, beleértve az érintett adatkezelő vagy adatfeldolgozó felfüggesztését vagy kizárását a kódex alkalmazásából. Ezekről az intézkedésekről és azok indokairól az illetékes felügyeleti hatóságot tájékoztatja.

(5)   Az illetékes felügyeleti hatóság visszavonja az (1) bekezdésben említett szervezet akkreditációját, ha az az akkreditációs feltételeknek nem vagy már nem felel meg, vagy ha a szerv intézkedései megsértik e rendeletet.

(6)   Ez a cikk nem alkalmazandó a közhatalmi szervek és közfeladatot ellátó egyéb szervek által végzett adatkezelésre.

42. cikk

Tanúsítás

(1)   A tagállamok, a felügyeleti hatóságok, a Testület, valamint a Bizottság – különösen uniós szinten – ösztönzik olyan adatvédelmi tanúsítási mechanizmusok, valamint adatvédelmi bélyegzők, illetve jelölések létrehozását, amelyek bizonyítják, hogy az adatkezelő vagy adatfeldolgozó által végrehajtott adatkezelési műveletek megfelelnek e rendelet előírásainak. Figyelembe kell venni a mikro-, kis- és középvállalkozások sajátos igényeit.

(2)   Az e rendelet hatálya alá tartozó adatkezelők vagy adatfeldolgozók általi betartása mellett az (5) bekezdésnek megfelelően jóváhagyott adatvédelmi tanúsítási mechanizmusokat, bélyegzőket vagy jelöléseket annak bizonyítására is létre lehet hozni, hogy a 3. cikk értelmében e rendelet hatálya alá nem tartozó adatkezelők vagy adatfeldolgozók a 46. cikk (2) bekezdésének f) pontjában foglalt feltételekkel összhangban megfelelő garanciákat nyújtsanak a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása keretében. Az ilyen adatkezelők vagy adatfeldolgozók szerződéses vagy egyéb, jogilag kötelező erejű eszközök révén kötelező erejű és kikényszeríthető kötelezettségvállalást tesznek arra, hogy alkalmazzák a megfelelő garanciákat, ideértve az érintettek jogaira vonatkozókat is.

(3)   A tanúsításnak önkéntesnek kell lennie, és átlátható eljáráson keresztül kell elérhetővé tenni.

(4)   Az e cikk szerinti tanúsítás nem csökkenti az adatkezelő vagy adatfeldolgozó e rendelet betartásáért való felelősségét, és nem sérti az 55. vagy az 56. cikk alapján illetékes felügyeleti hatóságok feladat- és hatáskörét.

(5)   Az e cikk szerinti tanúsítványt a 43. cikkben említett tanúsító szervezetek vagy az illetékes felügyeleti hatóságok állítják ki, az illetékes felügyeleti hatóság által az 58. cikk (3) bekezdésének, vagy a Testület által a 63. cikknek megfelelően jóváhagyott szempontok alapján. Ha a szempontokat a Testület hagyja jóvá, ennek eredményeként közös tanúsítvány, az európai adatvédelmi bélyegző állítható ki.

(6)   Az adatkezelő vagy adatfeldolgozó, amely az adatkezelési tevékenységét aláveti a tanúsítási mechanizmusnak, a 43. cikkben említett tanúsító szervezet vagy adott esetben az illetékes felügyeleti hatóság részére minden olyan információt megad és minden olyan adatkezelési tevékenységéhez hozzáférést biztosít, amely a tanúsítási eljárás lefolytatásához szükséges.

(7)   Az adatkezelő vagy adatfeldolgozó részére a tanúsítványt legfeljebb hároméves időtartamra lehet kiállítani, amely azonos feltételek mellett a tanúsítvány megújítható, feltéve, hogy a vonatkozó követelmények továbbra is teljesülnek. Adott esetben, ha a tanúsításra vonatkozó követelmények nem vagy már nem teljesülnek, a 43. cikkben említett tanúsító szervezet vagy az illetékes felügyeleti hatóság a tanúsítványt visszavonja.

(8)   A Testület valamennyi tanúsítási mechanizmust és adatvédelmi bélyegzőt, illetve jelölést egy nyilvántartásban állítja össze, és megfelelő módon nyilvánosan elérhetővé teszi őket.

43. cikk

Tanúsító szervezetek

(1)   Az illetékes felügyeleti hatóság 57. és 58. cikk alapján fennálló feladat- és hatásköreinek sérelme nélkül a tanúsítvány kiállítását és megújítását – a felügyeleti hatóság a célból való tájékoztatását követően, hogy az szükség esetén gyakorolhassa az 58. cikk (2) bekezdésének h) pontja szerinti hatáskörét – olyan tanúsító szervezet végzi, amely az adatvédelem terén megfelelő szakértelemmel rendelkezik. A tagállamok biztosítják, hogy e tanúsító szervezetek akkreditációját az alábbiak közül egy vagy mindkettő elvégezte:

| a) | az a felügyeleti hatóság, amelyik az 55. vagy az 56. cikk alapján illetékes; |
| --- | --- |

a)

az a felügyeleti hatóság, amelyik az 55. vagy az 56. cikk alapján illetékes;

| b) | az EN-ISO/IEC 17065/2012 szabványnak megfelelően, a 765/2008/EK európai parlamenti és tanácsi rendelettel (20), valamint az 55. vagy az 56. cikk alapján illetékes a felügyeleti hatóság által megállapított kiegészítő követelményekkel összhangban megnevezett nemzeti akkreditáló testület. |
| --- | --- |

b)

az EN-ISO/IEC 17065/2012 szabványnak megfelelően, a 765/2008/EK európai parlamenti és tanácsi rendelettel (20), valamint az 55. vagy az 56. cikk alapján illetékes a felügyeleti hatóság által megállapított kiegészítő követelményekkel összhangban megnevezett nemzeti akkreditáló testület.

(2)   Az (1) bekezdésben említett tanúsító szervezetet kizárólag abban az esetben lehet az említett bekezdéssel összhangban akkreditálni, ha:

| a) | az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltatott arra nézve, hogy független, és a tanúsítás tárgyában szakértelemmel bír; |
| --- | --- |

a)

az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltatott arra nézve, hogy független, és a tanúsítás tárgyában szakértelemmel bír;

| b) | vállalja, hogy tiszteletben tartja a 42. cikk (5) bekezdésében említett, az 55. vagy az 56. cikk alapján illetékes felügyeleti hatóság, illetve a 63. cikknek megfelelően a Testület által jóváhagyott szempontokat; |
| --- | --- |

b)

vállalja, hogy tiszteletben tartja a 42. cikk (5) bekezdésében említett, az 55. vagy az 56. cikk alapján illetékes felügyeleti hatóság, illetve a 63. cikknek megfelelően a Testület által jóváhagyott szempontokat;

| c) | eljárásokat hozott létre az adatvédelmi tanúsítványok, bélyegzők, illetve jelölések kibocsátására, rendszeres időközönkénti felülvizsgálatára és visszavonására; |
| --- | --- |

c)

eljárásokat hozott létre az adatvédelmi tanúsítványok, bélyegzők, illetve jelölések kibocsátására, rendszeres időközönkénti felülvizsgálatára és visszavonására;

| d) | olyan eljárásokat és struktúrákat hozott létre, amelyek révén kezelni tudja a tanúsítvánnyal kapcsolatos jogsértésekkel vagy annak az adatkezelő vagy adatfeldolgozó általi alkalmazásával kapcsolatos panaszokat, és ezeket az eljárásokat és struktúrákat az érintettek és a nyilvánosság számára átláthatóvá tudja tenni; és |
| --- | --- |

d)

olyan eljárásokat és struktúrákat hozott létre, amelyek révén kezelni tudja a tanúsítvánnyal kapcsolatos jogsértésekkel vagy annak az adatkezelő vagy adatfeldolgozó általi alkalmazásával kapcsolatos panaszokat, és ezeket az eljárásokat és struktúrákat az érintettek és a nyilvánosság számára átláthatóvá tudja tenni; és

| e) | az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltat arra nézve, hogy feladataival kapcsolatban nem áll fenn összeférhetetlenség. |
| --- | --- |

e)

az illetékes felügyeleti hatóság számára kielégítő bizonyítékot szolgáltat arra nézve, hogy feladataival kapcsolatban nem áll fenn összeférhetetlenség.

(3)   Az e cikk (1) és (2) bekezdésében említett tanúsító szervezet akkreditálását az 55. vagy az 56. cikk alapján illetékes felügyeleti hatóság által, illetve az 57. cikknek megfelelően a Testület által jóváhagyott szempontok alapján kell elvégezni. Ha az akkreditálásra az e cikk (1) bekezdése b) pontja alapján kerül sor, ezek a követelmények kiegészítik a 765/2008/EK rendeletben előirányzott követelményeket és a tanúsító szervek módszereire és eljárásaira vonatkozó technikai szabályokat.

(4)   Az adatkezelő vagy adatfeldolgozó e rendelet betartására vonatkozó felelősségének sérelme nélkül a tanúsítás vagy annak visszavonása alapjául szolgáló megfelelő vizsgálat lefolytatásáért az (1) bekezdésben említett tanúsító szervezet felelős. Az akkreditációt legfeljebb ötéves időtartamra lehet megadni, és az azonos feltételek mellett mindaddig megújítható, feltéve hogy az adott tanúsító szervezet teljesíti az e cikkben meghatározott követelményeket.

(5)   Az (1) bekezdésben említett tanúsító szervezet közli az illetékes felügyeleti hatósággal a kért tanúsítvány megadásának vagy visszavonásának okait.

(6)   Az e cikk (3) bekezdésében említett követelményeket és a 42. cikk (5) bekezdésében említett szempontokat a felügyeleti hatóság könnyen hozzáférhető formában közzéteszi. A felügyeleti hatóságok ezeket a követelményeket és szempontokat a Testület részére is továbbítják. A Testület valamennyi tanúsítási mechanizmust és adatvédelmi bélyegzőt egy nyilvántartásban állítja össze, és azokat megfelelő módon nyilvánosan elérhetővé teszi.

(7)   A VIII. fejezet sérelme nélkül az illetékes felügyeleti hatóság vagy a nemzeti akkreditáló testület visszavonja az e cikk (1) bekezdésében említett tanúsító szervezet akkreditációját, ha az az akkreditációs feltételeknek nem vagy már nem felel meg, vagy ha a tanúsító szervezet intézkedései megsértik e rendeletet.

(8)   A Bizottság felhatalmazást kap arra, hogy a 42. cikk (1) bekezdésében említett adatvédelmi tanúsítási mechanizmusok tekintetében figyelembe veendő követelmények meghatározása érdekében a 92. cikkel összhangban felhatalmazáson alapuló jogi aktusokat fogadjon el.

(9)   A Bizottság végrehajtási jogi aktusok elfogadása révén a tanúsítási mechanizmusokra és az adatvédelmi bélyegzőkre, illetve jelölésekre vonatkozó technikai szabványokat, valamint a tanúsítási mechanizmusok és a bélyegzők, illetve jelölések népszerűsítésére és elismerésére szolgáló mechanizmusokat határozhat meg. Ezeket a végrehajtási jogi aktusokat a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

V. FEJEZET

A személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása

44. cikk

Az adattovábbításra vonatkozó általános elv

Olyan személyes adatok továbbítására – ideértve a személyes adatok harmadik országból vagy nemzetközi szervezettől egy további harmadik országba vagy további nemzetközi szervezet részére történő újbóli továbbítását is –, amelyeket harmadik országba vagy nemzetközi szervezet részére történő továbbításukat követően adatkezelésnek vetnek alá vagy szándékoznak alávetni, csak abban az esetben kerülhet sor, e rendelet egyéb rendelkezéseinek betartása mellett, ha az adatkezelő és az adatfeldolgozó teljesíti az e fejezetben rögzített feltételeket. E fejezet valamennyi rendelkezését alkalmazni kell annak biztosítása érdekében, hogy a természetes személyek számára e rendeletben garantált védelem szintje ne sérüljön.

45. cikk

Adattovábbítás megfelelőségi határozat alapján

(1)   Személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására akkor kerülhet sor, ha a Bizottság megállapította, hogy a harmadik ország, a harmadik ország valamely területe, vagy egy vagy több meghatározott ágazata, vagy a szóban forgó nemzetközi szervezet megfelelő védelmi szintet biztosít. Az ilyen adattovábbításhoz nem szükséges külön engedély.

(2)   A védelmi szint megfelelőségének mérlegelése során a Bizottság különösen a következő tényezőket veszi figyelembe:

| a) | a jogállamiság, az emberi jogok és alapvető szabadságok tiszteletben tartása, a vonatkozó általános és ágazati jogszabályok, köztük a közbiztonságra, a védelemre, valamint a nemzetbiztonságra vonatkozó és a büntetőjogi rendelkezések, a közhatalmi szerveknek a személyes adatokhoz való hozzáférését szabályozó rendelkezések, valamint e jogszabályok végrehajtása, adatvédelmi szabályok, szakmai szabályok és biztonsági intézkedések, ideértve a személyes adatok másik harmadik ország vagy nemzetközi szervezet részére történő újbóli továbbítására vonatkozó azon szabályokat, amelyeknek az adott országban vagy nemzetközi szervezeten belül meg kell felelni; ítélkezési gyakorlat, továbbá az, hogy az érintettek, akiknek a személyes adatait továbbítják, rendelkeznek-e hatékonyan érvényesíthető – a hatékony közigazgatási és bírósági jogorvoslatot is magukban foglaló – jogokkal; |
| --- | --- |

a)

a jogállamiság, az emberi jogok és alapvető szabadságok tiszteletben tartása, a vonatkozó általános és ágazati jogszabályok, köztük a közbiztonságra, a védelemre, valamint a nemzetbiztonságra vonatkozó és a büntetőjogi rendelkezések, a közhatalmi szerveknek a személyes adatokhoz való hozzáférését szabályozó rendelkezések, valamint e jogszabályok végrehajtása, adatvédelmi szabályok, szakmai szabályok és biztonsági intézkedések, ideértve a személyes adatok másik harmadik ország vagy nemzetközi szervezet részére történő újbóli továbbítására vonatkozó azon szabályokat, amelyeknek az adott országban vagy nemzetközi szervezeten belül meg kell felelni; ítélkezési gyakorlat, továbbá az, hogy az érintettek, akiknek a személyes adatait továbbítják, rendelkeznek-e hatékonyan érvényesíthető – a hatékony közigazgatási és bírósági jogorvoslatot is magukban foglaló – jogokkal;

| b) | a szóban forgó harmadik országban létezik-e egy vagy több olyan független és hatékonyan működő felügyeleti hatóság – a szóban forgó nemzetközi szervezet pedig ilyen hatóság ellenőrzése alatt áll-e –, amely felelős az adatvédelmi szabályok betartásának biztosításáért és végrehajtásáért, rendelkezik többek között megfelelő kikényszerítési hatáskörrel, és felelős az érintettek részére történő, a jogaik gyakorlásával kapcsolatos segítségnyújtásért és tanácsadásért, valamint a tagállami felügyeleti hatóságokkal való együttműködésért; továbbá |
| --- | --- |

b)

a szóban forgó harmadik országban létezik-e egy vagy több olyan független és hatékonyan működő felügyeleti hatóság – a szóban forgó nemzetközi szervezet pedig ilyen hatóság ellenőrzése alatt áll-e –, amely felelős az adatvédelmi szabályok betartásának biztosításáért és végrehajtásáért, rendelkezik többek között megfelelő kikényszerítési hatáskörrel, és felelős az érintettek részére történő, a jogaik gyakorlásával kapcsolatos segítségnyújtásért és tanácsadásért, valamint a tagállami felügyeleti hatóságokkal való együttműködésért; továbbá

| c) | a szóban forgó harmadik ország vagy nemzetközi szervezet nemzetközi kötelezettségei vagy egyéb, jogilag kötelező erejű egyezményekből vagy jogi eszközökből, valamint többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségei. |
| --- | --- |

c)

a szóban forgó harmadik ország vagy nemzetközi szervezet nemzetközi kötelezettségei vagy egyéb, jogilag kötelező erejű egyezményekből vagy jogi eszközökből, valamint többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségei.

(3)   A védelmi szint megfelelőségének értékelését követően a Bizottság végrehajtási jogi aktusok útján határozhat arról, hogy a harmadik ország, a harmadik ország valamely területe, illetve egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet a (2) bekezdés értelmében biztosítja a megfelelő védelmi szintet. A végrehajtási jogi aktusban rendelkezni kell egy rendszeres, legalább négyévente elvégzendő felülvizsgálatra irányuló mechanizmusról, amely az adott harmadik országban vagy nemzetközi szervezetnél végbement valamennyi releváns fejleményt figyelembe vesz. A végrehajtási jogi aktusban pontosan rögzíteni kell annak területi és ágazati alkalmazási körét, és – adott esetben – meg kell határozni a (2) bekezdés b) pontjában említett felügyeleti hatóságot, illetve hatóságokat. A végrehajtási jogi aktust a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

(4)   A Bizottság folyamatosan figyelemmel kíséri a harmadik országokban és a nemzetközi szervezeteknél végbement azon fejleményeket, amelyek érinthetik az e cikk (3) bekezdése, valamint a 95/46/EK irányelv 25. cikkének (6) bekezdése alapján elfogadott határozatok végrehajtását.

(5)   A Bizottság – a rendelkezésekre álló információk, különösen az e cikk (3) bekezdésében említett felülvizsgálat alapján – határoz arról, hogy a harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, vagy valamely nemzetközi szervezet már nem biztosítja az e cikk (2) bekezdése értelmében vett megfelelő védelmi szintet, és a szükséges mértékben, az e cikk (3) bekezdésében említett korábbi határozatot végrehajtási jogi aktus útján, visszaható hatály nélkül hatályon kívül helyezi, módosítja vagy felfüggeszti. A végrehajtási jogi aktust a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak, rendkívüli sürgősséget igénylő esetekben pedig a 93. cikk (3) bekezdésében említett eljárásnak megfelelően kell elfogadni.

A Bizottság kellően indokolt, rendkívül sürgős esetben a 93. cikk (3) bekezdésében említett eljárásnak megfelelően azonnal alkalmazandó végrehajtási jogi aktusokat fogad el.

(6)   A Bizottság konzultációt kezdeményez a harmadik országgal vagy nemzetközi szervezettel az (5) bekezdés szerinti határozat meghozatalához vezető helyzet orvoslását illetően.

(7)   Az (5) bekezdés szerinti határozat nem érinti a személyes adatoknak a szóban forgó harmadik ország, a harmadik ország valamely területe vagy egy vagy több meghatározott ágazata, illetve a szóban forgó nemzetközi szervezet részére a 46–49. cikk alapján történő továbbítását.

(8)   A Bizottság az Európai Unió Hivatalos Lapjában és annak honlapján közzéteszi az olyan harmadik országok, harmadik országon belüli területek és meghatározott ágazatok, valamint nemzetközi szervezetek jegyzékét, amelyek esetében úgy ítélte meg, hogy biztosítják, vagy többé nem biztosítják a megfelelő védelmi szintet.

(9)   A Bizottság által a 95/46/EK irányelv 25. cikkének (6) bekezdése alapján elfogadott határozatok mindaddig hatályban maradnak, amíg azokat az e cikk (3) vagy az (5) bekezdésével összhangban elfogadott bizottsági határozat nem módosítja, nem váltja fel vagy nem helyezi hatályon kívül.

46. cikk

Megfelelő garanciák alapján történő adattovábbítások

(1)   A 45. cikk (3) bekezdése szerinti határozat hiányában az adatkezelő vagy adatfeldolgozó csak abban az esetben továbbíthat személyes adatokat harmadik országba vagy nemzetközi szervezet részére, ha az adatkezelő vagy adatfeldolgozó megfelelő garanciákat nyújtott, és csak azzal a feltétellel, hogy az érintettek számára érvényesíthető jogok és hatékony jogorvoslati lehetőségek állnak rendelkezésre.

(2)   A felügyeleti hatóság külön engedélye nélkül az (1) bekezdés szerinti megfelelő garanciákat az alábbiak jelenthetik:

| a) | közhatalmi vagy egyéb, közfeladatot ellátó szervek közötti, jogilag kötelező erejű, kikényszeríthető jogi eszköz; |
| --- | --- |

a)

közhatalmi vagy egyéb, közfeladatot ellátó szervek közötti, jogilag kötelező erejű, kikényszeríthető jogi eszköz;

| b) | a 47. cikk szerinti kötelező erejű vállalati szabályok; |
| --- | --- |

b)

a 47. cikk szerinti kötelező erejű vállalati szabályok;

| c) | a Bizottság által a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárással összhangban elfogadott általános adatvédelmi kikötések; |
| --- | --- |

c)

a Bizottság által a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárással összhangban elfogadott általános adatvédelmi kikötések;

| d) | a felügyeleti hatóság által elfogadott és a Bizottság által a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően jóváhagyott általános adatvédelmi kikötések; |
| --- | --- |

d)

a felügyeleti hatóság által elfogadott és a Bizottság által a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően jóváhagyott általános adatvédelmi kikötések;

| e) | a 40. cikk szerinti, jóváhagyott magatartási kódex a harmadik országbeli adatkezelő vagy adatfeldolgozó arra vonatkozó, kötelező erejű és kikényszeríthető kötelezettségvállalásával együtt, hogy alkalmazza a megfelelő – ideértve az érintettek jogaira vonatkozó – garanciákat; vagy |
| --- | --- |

e)

a 40. cikk szerinti, jóváhagyott magatartási kódex a harmadik országbeli adatkezelő vagy adatfeldolgozó arra vonatkozó, kötelező erejű és kikényszeríthető kötelezettségvállalásával együtt, hogy alkalmazza a megfelelő – ideértve az érintettek jogaira vonatkozó – garanciákat; vagy

| f) | a 42. cikk szerinti, jóváhagyott tanúsítási mechanizmus a harmadik országbeli adatkezelő vagy adatfeldolgozó arra vonatkozó, kötelező erejű és kikényszeríthető kötelezettségvállalásával együtt, hogy alkalmazza a megfelelő garanciákat, ideértve az érintettek jogait illetően is. |
| --- | --- |

f)

a 42. cikk szerinti, jóváhagyott tanúsítási mechanizmus a harmadik országbeli adatkezelő vagy adatfeldolgozó arra vonatkozó, kötelező erejű és kikényszeríthető kötelezettségvállalásával együtt, hogy alkalmazza a megfelelő garanciákat, ideértve az érintettek jogait illetően is.

(3)   Az illetékes felügyeleti hatóság engedélyével az (1) bekezdésben említett megfelelő garanciákként különösen az alábbiak is szolgálhatnak:

| a) | az adatkezelő vagy adatfeldolgozó és a harmadik országbeli vagy a nemzetközi szervezeten belüli adatkezelő, adatfeldolgozó vagy a személyes adatok címzettje között létrejött szerződéses rendelkezések; vagy |
| --- | --- |

a)

az adatkezelő vagy adatfeldolgozó és a harmadik országbeli vagy a nemzetközi szervezeten belüli adatkezelő, adatfeldolgozó vagy a személyes adatok címzettje között létrejött szerződéses rendelkezések; vagy

| b) | közhatalmi vagy egyéb, közfeladatot ellátó szervek között létrejött, közigazgatási megállapodásba beillesztendő rendelkezések, köztük az érintettek érvényesíthető és tényleges jogaira vonatkozó rendelkezések. |
| --- | --- |

b)

közhatalmi vagy egyéb, közfeladatot ellátó szervek között létrejött, közigazgatási megállapodásba beillesztendő rendelkezések, köztük az érintettek érvényesíthető és tényleges jogaira vonatkozó rendelkezések.

(4)   A felügyeleti hatóság az e cikk (3) bekezdésében említett esetekben a 63. cikkben említett egységességi mechanizmust alkalmazza.

(5)   A valamely tagállam vagy felügyeleti hatóság által a 95/46/EK irányelv 26. cikkének (2) bekezdése alapján kiadott engedélyek hatályban maradnak mindaddig, amíg azokat szükség esetén a felügyeleti hatóság nem módosítja, nem váltja fel vagy nem helyezi hatályon kívül. A Bizottság által a 95/46/EK irányelv 26. cikkének (4) bekezdése alapján elfogadott határozatok mindaddig hatályban maradnak, amíg azokat szükség esetén az e cikk (2) bekezdésével összhangban elfogadott bizottsági határozat nem módosítja, nem váltja fel vagy nem helyezi hatályon kívül.

47. cikk

Kötelező erejű vállalati szabályok

(1)   Az illetékes felügyeleti hatóság a 63. cikkben meghatározott, egységességi mechanizmusnak megfelelően jóváhagyja a kötelező erejű vállalati szabályokat, ha az:

| a) | a vállalkozáscsoport vagy a közös gazdasági tevékenységet folytató vállalkozások csoportja minden érintett tagjára, beleértve az alkalmazottakat is, jogilag kötelező erejű, alkalmazandó és általuk érvényesített; |
| --- | --- |

a)

a vállalkozáscsoport vagy a közös gazdasági tevékenységet folytató vállalkozások csoportja minden érintett tagjára, beleértve az alkalmazottakat is, jogilag kötelező erejű, alkalmazandó és általuk érvényesített;

| b) | kifejezetten rendelkezik az érintetteknek a személyes adataik kezelése tekintetében kikényszeríthető jogairól; és |
| --- | --- |

b)

kifejezetten rendelkezik az érintetteknek a személyes adataik kezelése tekintetében kikényszeríthető jogairól; és

| c) | megfelel a (2) bekezdés szerinti követelményeknek. |
| --- | --- |

c)

megfelel a (2) bekezdés szerinti követelményeknek.

(2)   Az (1) bekezdésben említett kötelező erejű vállalati szabályok tartalmazzák legalább:

| a) | a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportja minden egyes tagjának szervezeti felépítését és az elérhetőségét; |
| --- | --- |

a)

a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportja minden egyes tagjának szervezeti felépítését és az elérhetőségét;

| b) | az adattovábbításokat vagy a továbbítások sorozatát, beleértve a személyes adatok kategóriáit, az adatkezelés fajtáját és céljait, az érintettek fajtáit és a szóban forgó harmadik ország vagy országok azonosítását; |
| --- | --- |

b)

az adattovábbításokat vagy a továbbítások sorozatát, beleértve a személyes adatok kategóriáit, az adatkezelés fajtáját és céljait, az érintettek fajtáit és a szóban forgó harmadik ország vagy országok azonosítását;

| c) | a vállalkozások adatvédelmi szabályzatának belső és külső tekintetben jogilag kötelező jellegét; |
| --- | --- |

c)

a vállalkozások adatvédelmi szabályzatának belső és külső tekintetben jogilag kötelező jellegét;

| d) | az általános adatvédelmi elvek alkalmazását, különösen a célhoz kötöttség, az adattakarékosság, a korlátozott tárolási időtartamok, az adatminőség, a beépített és alapértelmezett adatvédelem, az adatkezelés jogalapja, a személyes adatok különleges kategóriáinak kezelése, az adatbiztonságot garantáló intézkedések, valamint az olyan szervezeteknek történő újbóli továbbítás feltételeit, amelyekre nézve nem kötelezőek a kötelező erejű vállalati szabályok; |
| --- | --- |

d)

az általános adatvédelmi elvek alkalmazását, különösen a célhoz kötöttség, az adattakarékosság, a korlátozott tárolási időtartamok, az adatminőség, a beépített és alapértelmezett adatvédelem, az adatkezelés jogalapja, a személyes adatok különleges kategóriáinak kezelése, az adatbiztonságot garantáló intézkedések, valamint az olyan szervezeteknek történő újbóli továbbítás feltételeit, amelyekre nézve nem kötelezőek a kötelező erejű vállalati szabályok;

| e) | az érintettek személyes adataik kezelése tekintetében fennálló jogait és e jogok gyakorlásának módjait, beleértve a 22. cikk szerinti, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntések alóli mentesülés jogát, az érintett 79. cikkben meghatározott jogát, hogy az illetékes felügyeleti hatóságnál és a tagállamok illetékes bíróságainál panaszt nyújthat be, továbbá a jogorvoslathoz való jogát, valamint adott esetben a kötelező erejű vállalati szabályok megsértése esetén a kártérítéshez való jogát; |
| --- | --- |

e)

az érintettek személyes adataik kezelése tekintetében fennálló jogait és e jogok gyakorlásának módjait, beleértve a 22. cikk szerinti, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntések alóli mentesülés jogát, az érintett 79. cikkben meghatározott jogát, hogy az illetékes felügyeleti hatóságnál és a tagállamok illetékes bíróságainál panaszt nyújthat be, továbbá a jogorvoslathoz való jogát, valamint adott esetben a kötelező erejű vállalati szabályok megsértése esetén a kártérítéshez való jogát;

| f) | a valamely tagállamban tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó felelősségének elismerését abban az esetben, ha a kötelező erejű vállalati szabályokat a csoportnak az Unióban tevékenységi hellyel nem rendelkező bármely érintett tagja megsérti; az adatkezelő vagy adatfeldolgozó részben vagy egészben csak akkor mentesül e felelőség alól, ha bizonyítja, hogy tagja nem felelős a kár előidézésében; |
| --- | --- |

f)

a valamely tagállamban tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó felelősségének elismerését abban az esetben, ha a kötelező erejű vállalati szabályokat a csoportnak az Unióban tevékenységi hellyel nem rendelkező bármely érintett tagja megsérti; az adatkezelő vagy adatfeldolgozó részben vagy egészben csak akkor mentesül e felelőség alól, ha bizonyítja, hogy tagja nem felelős a kár előidézésében;

| g) | azt, hogy a 13. és a 14. cikkben említetten kívül miként biztosítják az érintetteknek a kötelező erejű vállalati szabályokra, különösen az e bekezdés d), e) és f) pontja szerinti rendelkezésekre vonatkozó információkat; |
| --- | --- |

g)

azt, hogy a 13. és a 14. cikkben említetten kívül miként biztosítják az érintetteknek a kötelező erejű vállalati szabályokra, különösen az e bekezdés d), e) és f) pontja szerinti rendelkezésekre vonatkozó információkat;

| h) | a 37. cikk értelmében kijelölt adatvédelmi tisztviselők vagy a vállalkozáscsoporton vagy közös gazdasági tevékenységet folytató vállalkozások csoportján belül a kötelező erejű vállalati szabályoknak való megfelelés, valamint a képzés és a panaszkezelés nyomon követéséért felelős személyek vagy szervezetek feladatait; |
| --- | --- |

h)

a 37. cikk értelmében kijelölt adatvédelmi tisztviselők vagy a vállalkozáscsoporton vagy közös gazdasági tevékenységet folytató vállalkozások csoportján belül a kötelező erejű vállalati szabályoknak való megfelelés, valamint a képzés és a panaszkezelés nyomon követéséért felelős személyek vagy szervezetek feladatait;

| i) | a panasztételi eljárásokat; |
| --- | --- |

i)

a panasztételi eljárásokat;

| j) | a kötelező erejű vállalati szabályoknak való megfelelés ellenőrzésének biztosítására szolgáló, a vállalkozáscsoporton vagy közös gazdasági tevékenységet folytató vállalkozások csoportján belüli mechanizmusokat. E mechanizmusok tartalmazzák az adatvédelmi auditokat és az érintettek jogainak védelmét szolgáló korrekciós intézkedéseket biztosító mechanizmusokat. Az ilyen ellenőrzések eredményeit közölni kell a h) pontban említett személlyel vagy szervezettel, valamint a vállalkozáscsoportot vagy a közös gazdasági tevékenységet folytató vállalkozások csoportját ellenőrző vállalkozás felügyelőbizottságával, és kérésre az illetékes felügyeleti hatóság rendelkezésére kell bocsátani őket; |
| --- | --- |

j)

a kötelező erejű vállalati szabályoknak való megfelelés ellenőrzésének biztosítására szolgáló, a vállalkozáscsoporton vagy közös gazdasági tevékenységet folytató vállalkozások csoportján belüli mechanizmusokat. E mechanizmusok tartalmazzák az adatvédelmi auditokat és az érintettek jogainak védelmét szolgáló korrekciós intézkedéseket biztosító mechanizmusokat. Az ilyen ellenőrzések eredményeit közölni kell a h) pontban említett személlyel vagy szervezettel, valamint a vállalkozáscsoportot vagy a közös gazdasági tevékenységet folytató vállalkozások csoportját ellenőrző vállalkozás felügyelőbizottságával, és kérésre az illetékes felügyeleti hatóság rendelkezésére kell bocsátani őket;

| k) | a kötelező erejű vállalati szabályok változásainak bejelentésére és rögzítésére, valamint e változásoknak a felügyeleti hatóság számára történő bejelentésére szolgáló mechanizmusokat; |
| --- | --- |

k)

a kötelező erejű vállalati szabályok változásainak bejelentésére és rögzítésére, valamint e változásoknak a felügyeleti hatóság számára történő bejelentésére szolgáló mechanizmusokat;

| l) | a kötelező erejű vállalati szabályoknak a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportjának tagjai általi betartásának biztosítása érdekében a felügyeleti hatósággal folytatott együttműködési mechanizmust, beleértve különösen azt, hogy a felügyeleti hatóság számára elérhetővé teszik az intézkedések e bekezdés j) pontja szerinti ellenőrzésének eredményeit; |
| --- | --- |

l)

a kötelező erejű vállalati szabályoknak a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportjának tagjai általi betartásának biztosítása érdekében a felügyeleti hatósággal folytatott együttműködési mechanizmust, beleértve különösen azt, hogy a felügyeleti hatóság számára elérhetővé teszik az intézkedések e bekezdés j) pontja szerinti ellenőrzésének eredményeit;

| m) | arra vonatkozó mechanizmusokat, hogy hogyan kell jelenteni az illetékes felügyeleti hatóság számára a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportjának tagjára valamely harmadik országban vonatkozó azon jogi előírásokat, amelyek valószínűsíthetően jelentős mértékben hátrányosan érintenék a kötelező erejű vállalati szabályokban előírt garanciákat; valamint |
| --- | --- |

m)

arra vonatkozó mechanizmusokat, hogy hogyan kell jelenteni az illetékes felügyeleti hatóság számára a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportjának tagjára valamely harmadik országban vonatkozó azon jogi előírásokat, amelyek valószínűsíthetően jelentős mértékben hátrányosan érintenék a kötelező erejű vállalati szabályokban előírt garanciákat; valamint

| n) | a személyes adatokba állandó jelleggel vagy rendszeresen betekintő személyzetnek nyújtandó megfelelő adatvédelmi képzést. |
| --- | --- |

n)

a személyes adatokba állandó jelleggel vagy rendszeresen betekintő személyzetnek nyújtandó megfelelő adatvédelmi képzést.

(3)   A Bizottság meghatározhatja az e cikk szerinti, a kötelező erejű vállalati szabályokra vonatkozóan az adatkezelők, az adatfeldolgozók és a felügyeleti hatóságok között folytatott információcsere formátumát és eljárásait. Ezeket a végrehajtási jogi aktusokat a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

48. cikk

Az uniós jog által nem engedélyezett továbbítás és közlés

Valamely harmadik ország bíróságának bármely olyan ítélete, illetve közigazgatási hatóságának bármely olyan döntése, amely valamely adatkezelő vagy adatfeldolgozó számára személyes adatok továbbítását vagy közlését írja elő, kizárólag akkor ismerhető el vagy hajtható bármely módon végre, ha az az adatok megismerését igénylő harmadik ország és az Unió vagy egy tagállama között létrejött, hatályos nemzetközi megállapodáson, például kölcsönös jogsegélyszerződésen alapul, az adattovábbítás e fejezet szerinti egyéb módozatainak sérelme nélkül.

49. cikk

Különös helyzetekben biztosított eltérések

(1)   A 45. cikk (3) bekezdése szerinti megfelelőségi határozat, illetve a 46. cikk szerinti megfelelő garanciák hiányában – beleértve a kötelező erejű vállalati szabályokat is –, a személyes adatok harmadik ország vagy nemzetközi szervezet részére történő továbbítására vagy többszöri továbbítására csak az alábbi feltételek legalább egyikének teljesülése esetén kerülhet sor:

| a) | az érintett kifejezetten hozzájárulását adta a tervezett továbbításhoz azt követően, hogy tájékoztatták az adattovábbításból eredő – a megfelelőségi határozat és a megfelelő garanciák hiányából fakadó – esetleges kockázatokról; |
| --- | --- |

a)

az érintett kifejezetten hozzájárulását adta a tervezett továbbításhoz azt követően, hogy tájékoztatták az adattovábbításból eredő – a megfelelőségi határozat és a megfelelő garanciák hiányából fakadó – esetleges kockázatokról;

| b) | az adattovábbítás az érintett és az adatkezelő közötti szerződés teljesítéséhez, vagy az érintett kérésére hozott, szerződést megelőző intézkedések végrehajtásához szükséges; |
| --- | --- |

b)

az adattovábbítás az érintett és az adatkezelő közötti szerződés teljesítéséhez, vagy az érintett kérésére hozott, szerződést megelőző intézkedések végrehajtásához szükséges;

| c) | az adattovábbítás az adatkezelő és valamely más természetes vagy jogi személy közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez szükséges; |
| --- | --- |

c)

az adattovábbítás az adatkezelő és valamely más természetes vagy jogi személy közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez szükséges;

| d) | az adattovábbítás fontos közérdekből szükséges; |
| --- | --- |

d)

az adattovábbítás fontos közérdekből szükséges;

| e) | az adattovábbítás jogi igények előterjesztése, érvényesítése és védelme miatt szükséges; |
| --- | --- |

e)

az adattovábbítás jogi igények előterjesztése, érvényesítése és védelme miatt szükséges;

| f) | az adattovábbítás az érintett vagy valamely más személy létfontosságú érdekeinek védelme miatt szükséges, és az érintett fizikailag vagy jogilag képtelen a hozzájárulás megadására; |
| --- | --- |

f)

az adattovábbítás az érintett vagy valamely más személy létfontosságú érdekeinek védelme miatt szükséges, és az érintett fizikailag vagy jogilag képtelen a hozzájárulás megadására;

| g) | a továbbított adatok olyan nyilvántartásból származnak, amely az uniós vagy a tagállami jog értelmében a nyilvánosság tájékoztatását szolgálja, és amely vagy általában a nyilvánosság, vagy az ezzel kapcsolatos jogos érdekét igazoló bármely személy számára betekintés céljából hozzáférhető, de csak ha az uniós vagy tagállami jog által a betekintésre megállapított feltételek az adott különleges esetben teljesülnek. |
| --- | --- |

g)

a továbbított adatok olyan nyilvántartásból származnak, amely az uniós vagy a tagállami jog értelmében a nyilvánosság tájékoztatását szolgálja, és amely vagy általában a nyilvánosság, vagy az ezzel kapcsolatos jogos érdekét igazoló bármely személy számára betekintés céljából hozzáférhető, de csak ha az uniós vagy tagállami jog által a betekintésre megállapított feltételek az adott különleges esetben teljesülnek.

Ha az adattovábbítás nem alapulhat a 45. vagy a 46. cikk rendelkezésein, beleértve a kötelező erejű vállalati szabályok rendelkezéseit is, és az első albekezdésben említett egyedi helyzetekre vonatkozó eltérések egyike sem alkalmazandó, harmadik országok és nemzetközi szervezetek részére történő adattovábbítás csak akkor történhet, ha az adattovábbítás nem ismétlődő, csak korlátozott számú érintettre vonatkozik, az adatkezelő olyan kényszerítő erejű jogos érdekében szükséges, amely érdekhez képest nem élveznek elsőbbséget az érintett érdekei, jogai és szabadságai, és az adatkezelő az adattovábbítás minden körülményét megvizsgálta, és e vizsgálat alapján megfelelő garanciákat nyújtott a személyes adatok védelme tekintetében. Az adatkezelőnek tájékoztatnia kell a felügyeleti hatóságot az adattovábbításról. Az adatkezelő a 13. és a 14. cikkben említett információk nyújtásán kívül az érintettet tájékoztatja az adattovábbításról, valamint az adatkezelő kényszerítő erejű jogos érdekéről.

(2)   Az (1) bekezdés első albekezdésének g) pontja szerinti adattovábbítás nem érintheti a nyilvántartásban szereplő személyes adatok vagy személyes adatok kategóriáinak összességét. Ha a nyilvántartásba kizárólag olyan személyek tekinthetnek be, akiknek ehhez jogos érdeke fűződik, az adattovábbításra kizárólag e személyek kérelmére kerülhet sor, illetve abban az esetben, ha ők a címzettek.

(3)   Az (1) bekezdés első albekezdésének a), b) és c) pontja, valamint második albekezdése nem alkalmazandó a közhatalmi szervek által közhatalmi jogosítványaik gyakorlása során végzett tevékenységekre.

(4)   Az (1) bekezdés első albekezdésének d) pontjában említett közérdeket akkor kell figyelembe venni, ha azt az uniós jog vagy az adatkezelőre vonatkozó tagállami jog elismeri.

(5)   Megfelelőségi határozat hiányában az uniós jog vagy a tagállami jog fontos közérdekből kifejezetten korlátozhatja bizonyos kategóriákba tartozó személyes adatok valamely harmadik országba vagy nemzetközi szervezethez történő továbbítását. A tagállamok az ilyen rendelkezéseket bejelentik a Bizottságnak.

(6)   Az adatkezelő vagy az adatfeldolgozó az e cikk (1) bekezdésének második albekezdésében említett vizsgálatot és megfelelő garanciákat a 30. cikkben említett nyilvántartásban dokumentálja.

50. cikk

A személyes adatok védelmével kapcsolatos nemzetközi együttműködés

A harmadik országok és nemzetközi szervezetek viszonylatában a Bizottság és a felügyeleti hatóságok megfelelő lépéseket tesznek annak érdekében, hogy:

| a) | a személyes adatok védelméről szóló jogszabályok hatékony érvényesítésének elősegítését célzó nemzetközi együttműködési mechanizmusokat alakítsanak ki; |
| --- | --- |

a)

a személyes adatok védelméről szóló jogszabályok hatékony érvényesítésének elősegítését célzó nemzetközi együttműködési mechanizmusokat alakítsanak ki;

| b) | a személyes adatok védelméről szóló jogszabályok érvényesítése terén kölcsönös nemzetközi segítségnyújtást biztosítsanak, egyebek mellett értesítés, a panaszok illetékes hatósághoz történő továbbítása, a vizsgálatokban történő segítségnyújtás és információcsere útján, a személyes adatok védelmére és a többi alapvető jogra és szabadságra vonatkozó megfelelő garanciákra is figyelemmel; |
| --- | --- |

b)

a személyes adatok védelméről szóló jogszabályok érvényesítése terén kölcsönös nemzetközi segítségnyújtást biztosítsanak, egyebek mellett értesítés, a panaszok illetékes hatósághoz történő továbbítása, a vizsgálatokban történő segítségnyújtás és információcsere útján, a személyes adatok védelmére és a többi alapvető jogra és szabadságra vonatkozó megfelelő garanciákra is figyelemmel;

| c) | az érdekelt feleket bevonják a személyes adatok védelméről szóló jogszabályok érvényesítése érdekében folytatott nemzetközi együttműködés előmozdítását célzó párbeszédbe és tevékenységekbe; |
| --- | --- |

c)

az érdekelt feleket bevonják a személyes adatok védelméről szóló jogszabályok érvényesítése érdekében folytatott nemzetközi együttműködés előmozdítását célzó párbeszédbe és tevékenységekbe;

| d) | előmozdítsák a személyes adatok védelméről szóló jogszabályok és gyakorlat átadását és dokumentálását, beleértve a harmadik országok viszonylatában felmerülő joghatósági összeütközéseket is. |
| --- | --- |

d)

előmozdítsák a személyes adatok védelméről szóló jogszabályok és gyakorlat átadását és dokumentálását, beleértve a harmadik országok viszonylatában felmerülő joghatósági összeütközéseket is.

VI. FEJEZET

Független felügyeleti hatóságok

1. szakasz

Független jogállás

51. cikk

Felügyeleti hatóság

(1)   A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme, valamint a személyes adatok Unión belüli szabad áramlásának megkönnyítése érdekében minden tagállam előírja, hogy e rendelet alkalmazásának ellenőrzéséért egy vagy több független közhatalmi szerv (felügyeleti hatóság) felel.

(2)   Minden felügyeleti hatóság elősegíti e rendeletnek az Unió egész területén történő egységes alkalmazását. A felügyeleti hatóságok e célból együttműködnek egymással és a Bizottsággal, a VII. fejezettel összhangban.

(3)   Ha valamely tagállamban egynél több felügyeleti hatóságot hoznak létre, az adott tagállam kijelöli azt a felügyeleti hatóságot, amelyik a Testületben ellátja a szóban forgó hatóságok képviseletét, és létrehozza az arra szolgáló mechanizmust, hogy a többi hatóság a 63. cikkben említett egységességi mechanizmusra vonatkozó szabályokat betartsa.

(4)   Minden tagállam 2018. május 25-ig értesíti a Bizottságot jogának azon rendelkezéseiről, amelyeket e fejezet alapján elfogad, továbbá haladéktalanul értesíti a Bizottságot az említett rendelkezéseket érintő későbbi módosításokról.

52. cikk

Függetlenség

(1)   A felügyeleti hatóságok az e rendelet alapján rájuk ruházott feladatok elvégzése és hatáskörök gyakorlása során teljesen függetlenül járnak el.

(2)   Az egyes felügyeleti hatóságok tagja vagy tagjai az e rendelettel összhangban rájuk ruházott feladatok végzése és hatáskörök gyakorlása során bármilyen – közvetlen vagy közvetett – külső befolyástól mentesen járnak el, és utasítást senkitől sem kérhetnek vagy fogadhatnak el.

(3)   A felügyeleti hatóságok tagjai tartózkodnak a feladatkörükkel összeférhetetlen cselekményektől, valamint hivatali idejük alatt sem javadalmazás ellenében, sem anélkül nem vállalhatnak azzal összeférhetetlen szakmai tevékenységet.

(4)   A tagállamok biztosítják, hogy mindegyik felügyeleti hatóság rendelkezésére áll a feladataik és hatásköreik – ideértve a kölcsönös segítségnyújtást, az együttműködést és a Testületben való részvételt – eredményes ellátásához, illetve gyakorlásához szükséges emberi, műszaki és pénzügyi források, helyiségek és infrastruktúra.

(5)   A tagállamok biztosítják, hogy mindegyik felügyeleti hatóság saját személyzettel rendelkezik és maga választja ki azt, amely a felügyeleti hatóság tagjának vagy tagjainak kizárólagos irányítása alá tartozik.

(6)   A tagállamok biztosítják, hogy mindegyik felügyeleti hatóság a függetlenségét nem befolyásoló pénzügyi ellenőrzés alá tartozik. A tagállamok biztosítják, hogy mindegyik felügyeleti hatóság saját, nyilvános, éves költségvetéssel rendelkezik, amely az állami vagy nemzeti költségvetés részét képezheti.

53. cikk

A felügyeleti hatóság tagjaira vonatkozó általános feltételek

(1)   A tagállamok előírják, hogy a felügyeleti hatóságaik minden tagját átlátható eljárás keretében nevezze ki az alábbiak egyike:

| — | a parlamentjük; |
| --- | --- |

—

a parlamentjük;

| — | a kormányuk; |
| --- | --- |

—

a kormányuk;

| — | az államfőjük vagy |
| --- | --- |

—

az államfőjük vagy

| — | a tagállami jog alapján a kinevezéssel megbízott független szerv. |
| --- | --- |

—

a tagállami jog alapján a kinevezéssel megbízott független szerv.

(2)   A felügyeleti hatóságok tagja rendelkezik feladatai ellátásához és hatásköre gyakorlásához szükséges képesítéssel, tapasztalattal és készségekkel, különösen a személyes adatok védelme területén.

(3)   A tagok feladatköre a hivatali idő lejártával, lemondással vagy kötelező nyugdíjazással szűnik meg, az érintett tagállam jogában előírtaknak megfelelően.

(4)   Tag felmentésére kizárólag súlyos kötelességszegés esetén vagy abban az esetben kerülhet sor, ha a tag már nem felel meg a feladatai ellátásához szükséges feltételeknek.

54. cikk

A felügyeleti hatóság létrehozására vonatkozó szabályok

(1)   A tagállamok jogszabályban rendelkeznek:

| a) | minden egyes felügyeleti hatóság létrehozásáról; |
| --- | --- |

a)

minden egyes felügyeleti hatóság létrehozásáról;

| b) | az egyes felügyeleti hatóságok tagjává való kinevezéshez szükséges képesítésekről és pályázati feltételekről; |
| --- | --- |

b)

az egyes felügyeleti hatóságok tagjává való kinevezéshez szükséges képesítésekről és pályázati feltételekről;

| c) | az egyes felügyeleti hatóságok tagjának vagy tagjainak kinevezésére vonatkozó szabályokról és eljárásokról; |
| --- | --- |

c)

az egyes felügyeleti hatóságok tagjának vagy tagjainak kinevezésére vonatkozó szabályokról és eljárásokról;

| d) | az egyes felügyeleti hatóságok tagja vagy tagjai megbízatásának időtartamáról, amelynek legalább négy évre kell szólnia, kivéve a 2016. május 24-ét követő első kinevezést, amely rövidebb időtartamra is szólhat, ha a felügyeleti hatóság függetlenségének megőrzése érdekében a kinevezéseket több lépcsőben kell végrehajtani; |
| --- | --- |

d)

az egyes felügyeleti hatóságok tagja vagy tagjai megbízatásának időtartamáról, amelynek legalább négy évre kell szólnia, kivéve a 2016. május 24-ét követő első kinevezést, amely rövidebb időtartamra is szólhat, ha a felügyeleti hatóság függetlenségének megőrzése érdekében a kinevezéseket több lépcsőben kell végrehajtani;

| e) | arról, hogy az egyes felügyeleti hatóságok tagja vagy tagjai újra kinevezhetők-e, és ha igen, hány ciklusra; és |
| --- | --- |

e)

arról, hogy az egyes felügyeleti hatóságok tagja vagy tagjai újra kinevezhetők-e, és ha igen, hány ciklusra; és

| f) | az egyes felügyeleti hatóságok tagjának vagy tagjainak, valamint személyzetének kötelezettségeire vonatkozó feltételekről, a hivatali idő alatt és azt követően az alkalmazással összeférhetetlen cselekményekről, szakmai tevékenységre és juttatásokra vonatkozó tiltó rendelkezésekről, valamint az alkalmazás megszűnésére vonatkozó szabályokról. |
| --- | --- |

f)

az egyes felügyeleti hatóságok tagjának vagy tagjainak, valamint személyzetének kötelezettségeire vonatkozó feltételekről, a hivatali idő alatt és azt követően az alkalmazással összeférhetetlen cselekményekről, szakmai tevékenységre és juttatásokra vonatkozó tiltó rendelkezésekről, valamint az alkalmazás megszűnésére vonatkozó szabályokról.

(2)   Az uniós vagy tagállami jognak megfelelően mindegyik felügyeleti hatóság tagját vagy tagjait és személyzetét a feladataik ellátása és hatáskörük gyakorlása során tudomásukra jutott bármely bizalmas információ tekintetében hivatali idejük alatt és annak lejártát követően is szakmai titoktartási kötelezettség terheli. Hivatali idejük alatt ez a szakmai titoktartási kötelezettség különösen vonatkozik a természetes személyek által e rendelet megsértését illetően tett bejelentésekre.

2. szakasz

Illetékesség, feladatok és hatáskörök

55. cikk

Illetékesség

(1)   A felügyeleti hatóság a saját tagállamának területén illetékes az e rendelet alapján ráruházott feladatok végzésére és hatáskörök gyakorlására.

(2)   Ha az adatkezelést a 6. cikk (1) bekezdésének c) vagy e) pontja alapján eljáró közhatalmi szervek vagy magánfél szervezetek végzik, az érintett tagállam felügyeleti hatósága az illetékes. Ezekben az esetekben az 56. cikk nem alkalmazandó.

(3)   A felügyeleti hatóságok hatásköre nem terjed ki a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére.

56. cikk

A fő felügyeleti hatóság illetékessége

(1)   Az 55. cikk sérelme nélkül, az adatkezelő vagy az adatfeldolgozó tevékenységi központja vagy egyetlen tevékenységi helye szerinti felügyeleti hatóság jogosult fő felügyeleti hatóságként eljárni az említett adatkezelő vagy az adatfeldolgozó által végzett határokon átnyúló adatkezelés tekintetében, a 60. cikk szerinti eljárással összhangban.

(2)   Az (1) bekezdéstől eltérve, minden felügyeleti hatóság jogosult a hozzá benyújtott panaszok kezelésére, illetve jogosult e rendelet esetleges megsértése esetén eljárni, ha az ügy tárgya kizárólag egy, a tagállamában található tevékenységi helyet érint, vagy ha kizárólag a tagállamában érint jelentős mértékben érintetteket.

(3)   Az e cikk (2) bekezdésében említett esetekben a felügyeleti hatóság haladéktalanul tájékoztatja az ügyről a fő felügyeleti hatóságot. A fő felügyeleti hatóság a tájékoztatását követő három héten belül dönt arról, hogy a 60. cikkben foglalt eljárással összhangban eljár-e az ügyben, figyelembe véve azt, hogy az adatkezelő vagy az adatfeldolgozó rendelkezik-e tevékenységi hellyel abban a tagállamban, amelynek a felügyeleti hatósága a fő felügyeleti hatóságot tájékoztatta.

(4)   Ha a fő felügyeleti hatóság úgy határoz, hogy eljár az ügyben, a 60. cikkben meghatározott eljárást kell alkalmazni. A fő felügyeleti hatóságot tájékoztató felügyeleti hatóság döntéstervezetet nyújthat be a fő felügyeleti hatóságnak. A fő felügyeleti hatóság a 60. cikk (3) bekezdésében említett döntéstervezet elkészítése során a lehető legnagyobb mértékben figyelembe veszi az említett tervezetet.

(5)   Abban az esetben, ha a fő felügyeleti hatóság úgy határoz, hogy nem jár el az ügyben, a fő felügyeleti hatóságot tájékoztató felügyeleti hatóság jár el a 61. és a 62. cikknek megfelelően.

(6)   A fő felügyeleti hatóság az adatkezelő vagy adatfeldolgozó egyetlen kapcsolattartója az általuk végzett, határokon átnyúló adatkezeléssel kapcsolatban.

57. cikk

Feladatok

(1)   Az e rendeletben meghatározott egyéb feladatok sérelme nélkül, a felügyeleti hatóság a saját területén ellátja a következő feladatokat:

| a) | nyomon követi és kikényszeríti e rendelet alkalmazását; |
| --- | --- |

a)

nyomon követi és kikényszeríti e rendelet alkalmazását;

| b) | elősegíti a nyilvánosság figyelmének felkeltését és az ismeretek terjesztését a személyes adatok kezelésével összefüggő kockázatok, szabályok, garanciák és jogok vonatkozásában. Különös figyelmet fordít a kifejezetten gyermekekre irányuló tevékenységekre; |
| --- | --- |

b)

elősegíti a nyilvánosság figyelmének felkeltését és az ismeretek terjesztését a személyes adatok kezelésével összefüggő kockázatok, szabályok, garanciák és jogok vonatkozásában. Különös figyelmet fordít a kifejezetten gyermekekre irányuló tevékenységekre;

| c) | a tagállami joggal összhangban tanácsot ad a nemzeti parlamentnek, a kormánynak és más intézményeknek és szerveknek a természetes személyek jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelmével kapcsolatos jogalkotási és közigazgatási intézkedésekről; |
| --- | --- |

c)

a tagállami joggal összhangban tanácsot ad a nemzeti parlamentnek, a kormánynak és más intézményeknek és szerveknek a természetes személyek jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelmével kapcsolatos jogalkotási és közigazgatási intézkedésekről;

| d) | felhívja az adatkezelők és az adatfeldolgozók figyelmét az e rendelet szerinti kötelezettségeikre; |
| --- | --- |

d)

felhívja az adatkezelők és az adatfeldolgozók figyelmét az e rendelet szerinti kötelezettségeikre;

| e) | kérésre tájékoztatást ad bármely érintettnek az e rendelet alapján őt megillető jogok gyakorlásával kapcsolatban, és e célból adott esetben együttműködik más tagállamok felügyeleti hatóságaival; |
| --- | --- |

e)

kérésre tájékoztatást ad bármely érintettnek az e rendelet alapján őt megillető jogok gyakorlásával kapcsolatban, és e célból adott esetben együttműködik más tagállamok felügyeleti hatóságaival;

| f) | kezeli az érintett vagy valamely szerv, szervezet vagy egyesület által a 80. cikkel összhangban benyújtott panaszokat, a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű határidőn belül tájékoztatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé; |
| --- | --- |

f)

kezeli az érintett vagy valamely szerv, szervezet vagy egyesület által a 80. cikkel összhangban benyújtott panaszokat, a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű határidőn belül tájékoztatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé;

| g) | együttműködik más felügyeleti hatóságokkal, ideértve az információcserét és a kölcsönös segítségnyújtást is, e rendelet egységes alkalmazásának és érvényesítésének biztosítása érdekében; |
| --- | --- |

g)

együttműködik más felügyeleti hatóságokkal, ideértve az információcserét és a kölcsönös segítségnyújtást is, e rendelet egységes alkalmazásának és érvényesítésének biztosítása érdekében;

| h) | vizsgálatot folytat e rendelet alkalmazásával kapcsolatban, akár más felügyeleti hatóságtól vagy más közhatalmi szervtől kapott információ alapján; |
| --- | --- |

h)

vizsgálatot folytat e rendelet alkalmazásával kapcsolatban, akár más felügyeleti hatóságtól vagy más közhatalmi szervtől kapott információ alapján;

| i) | figyelemmel kíséri a személyes adatok védelmére kiható jelentősebb fejleményeket, különösen az információs és kommunikációs technológiák, valamint a kereskedelmi gyakorlatok fejlődését; |
| --- | --- |

i)

figyelemmel kíséri a személyes adatok védelmére kiható jelentősebb fejleményeket, különösen az információs és kommunikációs technológiák, valamint a kereskedelmi gyakorlatok fejlődését;

| j) | megállapítja a 28. cikk (8) bekezdésében és a 46. cikk (2) bekezdésének d) pontjában említett általános szerződési feltételeket; |
| --- | --- |

j)

megállapítja a 28. cikk (8) bekezdésében és a 46. cikk (2) bekezdésének d) pontjában említett általános szerződési feltételeket;

| k) | a 35. cikk (4) bekezdésének megfelelően jegyzéket állít össze és az adatvédelmi hatásvizsgálatra vonatkozó kötelezettséggel kapcsolatban vezeti azt; |
| --- | --- |

k)

a 35. cikk (4) bekezdésének megfelelően jegyzéket állít össze és az adatvédelmi hatásvizsgálatra vonatkozó kötelezettséggel kapcsolatban vezeti azt;

| l) | tanácsot ad a 36. cikk (2) bekezdésében említett adatkezelési műveletekkel kapcsolatban; |
| --- | --- |

l)

tanácsot ad a 36. cikk (2) bekezdésében említett adatkezelési műveletekkel kapcsolatban;

| m) | ösztönzi a 40. cikk (1) bekezdése szerinti magatartási kódex kidolgozását, valamint a 40. cikk (5) bekezdésével összhangban véleményezi, illetve jóváhagyja a megfelelő garanciákat kínáló ilyen magatartási kódexeket; |
| --- | --- |

m)

ösztönzi a 40. cikk (1) bekezdése szerinti magatartási kódex kidolgozását, valamint a 40. cikk (5) bekezdésével összhangban véleményezi, illetve jóváhagyja a megfelelő garanciákat kínáló ilyen magatartási kódexeket;

| n) | ösztönzi a 42. cikk (1) bekezdése szerinti az adatvédelmi tanúsítási mechanizmusok, valamint adatvédelmi bélyegzők, illetve jelölések létrehozását, és a 42. cikk (5) bekezdésének megfelelően jóváhagyja a tanúsítási szempontokat; |
| --- | --- |

n)

ösztönzi a 42. cikk (1) bekezdése szerinti az adatvédelmi tanúsítási mechanizmusok, valamint adatvédelmi bélyegzők, illetve jelölések létrehozását, és a 42. cikk (5) bekezdésének megfelelően jóváhagyja a tanúsítási szempontokat;

| o) | adott esetben rendszeres időközönként felülvizsgálja a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványokat; |
| --- | --- |

o)

adott esetben rendszeres időközönként felülvizsgálja a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványokat;

| p) | meghatározza és közzéteszi a magatartási kódexnek való megfelelést ellenőrző 41. cikk szerinti szervezet és a 43. cikk szerinti tanúsító szervezet akkreditációjára vonatkozó szempontokat; |
| --- | --- |

p)

meghatározza és közzéteszi a magatartási kódexnek való megfelelést ellenőrző 41. cikk szerinti szervezet és a 43. cikk szerinti tanúsító szervezet akkreditációjára vonatkozó szempontokat;

| q) | elvégzi a magatartási kódexnek való megfelelést ellenőrző, a 41. cikk szerinti szervezet és a 43. cikk szerinti tanúsító szervezet akkreditációját; |
| --- | --- |

q)

elvégzi a magatartási kódexnek való megfelelést ellenőrző, a 41. cikk szerinti szervezet és a 43. cikk szerinti tanúsító szervezet akkreditációját;

| r) | engedélyezi a 46. cikk (3) bekezdésében említett szerződéses feltételeket és rendelkezéseket; |
| --- | --- |

r)

engedélyezi a 46. cikk (3) bekezdésében említett szerződéses feltételeket és rendelkezéseket;

| s) | jóváhagyja a 47. cikk szerinti kötelező erejű vállalati szabályokat; |
| --- | --- |

s)

jóváhagyja a 47. cikk szerinti kötelező erejű vállalati szabályokat;

| t) | hozzájárul a Testület tevékenységeihez; |
| --- | --- |

t)

hozzájárul a Testület tevékenységeihez;

| u) | belső nyilvántartást vezet e rendelet megsértéséről és az 58. cikk (2) bekezdése szerint meghozott intézkedésekről; és |
| --- | --- |

u)

belső nyilvántartást vezet e rendelet megsértéséről és az 58. cikk (2) bekezdése szerint meghozott intézkedésekről; és

| v) | a személyes adatok védelméhez kapcsolódó minden más feladatot ellát. |
| --- | --- |

v)

a személyes adatok védelméhez kapcsolódó minden más feladatot ellát.

(2)   A felügyeleti hatóság megkönnyíti az (1) bekezdés f) pontjában említett panasz benyújtását például olyan intézkedésekkel, hogy elektronikus úton is kitölthető panasz benyújtására szolgáló formanyomtatványt hoz létre, nem zárva ki azonban más kommunikációs eszközök alkalmazását sem.

(3)   A felügyeleti hatóság úgy látja el feladatait, hogy az az érintett és adott esetben az adatvédelmi tisztviselő számára térítésmentes legyen.

(4)   Ha a kérelmek egyértelműen megalapozatlanok vagy – különösen ismétlődő jellegük miatt – túlzók, a felügyeleti hatóság észszerű, az adminisztratív költségeken alapuló díjat számíthat fel, vagy megtagadhatja, hogy eljárjon a kérelemmel kapcsolatban. Annak bizonyítása, hogy a kérelem egyértelműen megalapozatlan vagy túlzó, a felügyeleti hatóságot terheli.

58. cikk

Hatáskörök

(1)   A felügyeleti hatóság vizsgálati hatáskörében eljárva:

| a) | utasítja az adatkezelőt és az adatfeldolgozót, illetve adott esetben az adatkezelő vagy az adatfeldolgozó képviselőjét, hogy számára a feladatai elvégzéséhez szükséges tájékoztatást megadja; |
| --- | --- |

a)

utasítja az adatkezelőt és az adatfeldolgozót, illetve adott esetben az adatkezelő vagy az adatfeldolgozó képviselőjét, hogy számára a feladatai elvégzéséhez szükséges tájékoztatást megadja;

| b) | vizsgálatot folytat adatvédelmi auditok formájában; |
| --- | --- |

b)

vizsgálatot folytat adatvédelmi auditok formájában;

| c) | elvégzi a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványok felülvizsgálatát; |
| --- | --- |

c)

elvégzi a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványok felülvizsgálatát;

| d) | értesíti az adatkezelőt vagy az adatfeldolgozót e rendelet feltételezett megsértéséről; |
| --- | --- |

d)

értesíti az adatkezelőt vagy az adatfeldolgozót e rendelet feltételezett megsértéséről;

| e) | hozzáférést kap az adatkezelőtől vagy az adatfeldolgozótól a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz; és |
| --- | --- |

e)

hozzáférést kap az adatkezelőtől vagy az adatfeldolgozótól a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz; és

| f) | az uniós vagy tagállami eljárásjoggal összhangban hozzáférést kap az adatkezelő vagy az adatfeldolgozó bármely helyiségéhez, ideértve minden adatkezeléshez használt felszerelést és eszközt. |
| --- | --- |

f)

az uniós vagy tagállami eljárásjoggal összhangban hozzáférést kap az adatkezelő vagy az adatfeldolgozó bármely helyiségéhez, ideértve minden adatkezeléshez használt felszerelést és eszközt.

(2)   A felügyeleti hatóság korrekciós hatáskörében eljárva:

| a) | figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; |
| --- | --- |

a)

figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;

| b) | elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; |
| --- | --- |

b)

elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

| c) | utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; |
| --- | --- |

c)

utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

| d) | utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; |
| --- | --- |

d)

utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel;

| e) | utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; |
| --- | --- |

e)

utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről;

| f) | átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; |
| --- | --- |

f)

átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;

| g) | a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; |
| --- | --- |

g)

a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték;

| h) | visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; |
| --- | --- |

h)

visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek;

| i) | a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és |
| --- | --- |

i)

a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és

| j) | elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését. |
| --- | --- |

j)

elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.

(3)   A felügyeleti hatóság engedélyezési és tanácsadási hatáskörében eljárva:

| a) | tanácsot ad az adatkezelőnek a 36. cikkben említett előzetes konzultációs eljárás keretében; |
| --- | --- |

a)

tanácsot ad az adatkezelőnek a 36. cikkben említett előzetes konzultációs eljárás keretében;

| b) | saját kezdeményezésére vagy kérésre a személyes adatok védelmével kapcsolatos bármilyen kérdésben véleményt bocsát ki a nemzeti parlament, a tagállami kormány vagy a tagállami joggal összhangban más intézmények és szervek, valamint a nyilvánosság részére; |
| --- | --- |

b)

saját kezdeményezésére vagy kérésre a személyes adatok védelmével kapcsolatos bármilyen kérdésben véleményt bocsát ki a nemzeti parlament, a tagállami kormány vagy a tagállami joggal összhangban más intézmények és szervek, valamint a nyilvánosság részére;

| c) | engedélyezi a 36. cikk (5) bekezdése szerinti adatkezelést, ha a tagállam joga azt előzetes engedélyhez köti; |
| --- | --- |

c)

engedélyezi a 36. cikk (5) bekezdése szerinti adatkezelést, ha a tagállam joga azt előzetes engedélyhez köti;

| d) | a 40. cikk (5) bekezdésével összhangban véleményezi és jóváhagyja a magatartási kódexek tervezetét; |
| --- | --- |

d)

a 40. cikk (5) bekezdésével összhangban véleményezi és jóváhagyja a magatartási kódexek tervezetét;

| e) | akkreditálja a 43. cikk szerinti tanúsító szervezeteket; |
| --- | --- |

e)

akkreditálja a 43. cikk szerinti tanúsító szervezeteket;

| f) | a 42. cikk (5) bekezdésével összhangban tanúsítványokat állít ki és a jóváhagyja a tanúsítási szempontokat; |
| --- | --- |

f)

a 42. cikk (5) bekezdésével összhangban tanúsítványokat állít ki és a jóváhagyja a tanúsítási szempontokat;

| g) | elfogadja a 28. cikk (8) bekezdésben és a 46. cikk (2) bekezdésének d) pontjában említett általános adatvédelmi kikötéseket |
| --- | --- |

g)

elfogadja a 28. cikk (8) bekezdésben és a 46. cikk (2) bekezdésének d) pontjában említett általános adatvédelmi kikötéseket

| h) | engedélyezi a 46. cikk (3) bekezdésének a) pontjában említett szerződéses rendelkezéseket; |
| --- | --- |

h)

engedélyezi a 46. cikk (3) bekezdésének a) pontjában említett szerződéses rendelkezéseket;

| i) | engedélyezi a 46. cikk (3) bekezdésének b) pontjában említett közigazgatási megállapodásokat; és |
| --- | --- |

i)

engedélyezi a 46. cikk (3) bekezdésének b) pontjában említett közigazgatási megállapodásokat; és

| j) | jóváhagyja a 47. cikk szerinti kötelező erejű vállalati szabályokat. |
| --- | --- |

j)

jóváhagyja a 47. cikk szerinti kötelező erejű vállalati szabályokat.

(4)   Az e cikk alapján a felügyeleti hatóságra ruházott hatáskörök gyakorlására megfelelő garanciák mellett kerülhet sor, ideértve az uniós és a tagállami jogban a Chartával összhangban meghatározott hatékony bírósági jogorvoslatot és tisztességes eljárást is.

(5)   A tagállamok jogszabályban előírják, hogy a felügyeleti hatóságuk hatáskörrel rendelkezik arra, hogy e rendelet megsértéséről tájékoztassa az igazságügyi hatóságokat, és adott esetben bírósági eljárást kezdeményezzen vagy abban más módon részt vegyen e rendelet rendelkezéseinek érvényre juttatása érdekében.

(6)   A tagállamok jogszabályban előírhatják, hogy felügyeleti hatóságuk az (1), (2) és (3) bekezdésben említetteken kívüli hatáskörökkel is rendelkezzen. E hatáskörök gyakorlása nem hátráltathatja a VII. fejezet hatékony végrehajtását.

59. cikk

Tevékenységi jelentés

A felügyeleti hatóság éves jelentést készít a tevékenységeiről, amely tartalmazhatja a bejelentett jogsértések típusainak és az 58. cikk (2) bekezdésével összhangban tett intézkedések fajtáit is. A jelentést a nemzeti parlamentnek, a kormánynak és a tagállami jogban megjelölt más hatóságoknak kell benyújtani. A jelentéseket elérhetővé kell tenni a nyilvánosság, a Bizottság és a Testület számára.

VII. FEJEZET

Együttműködés és egységesség

1. szakasz

Együttműködés

60. cikk

Együttműködés a fő felügyeleti hatóság és a többi érintett felügyeleti hatóság között

(1)   A fő felügyeleti hatóság e cikknek megfelelően, konszenzusra törekedve együttműködik a többi érintett felügyeleti hatósággal. A fő felügyeleti hatóság és az érintett felügyeleti hatóságok minden releváns információt kicserélnek egymással.

(2)   A fő felügyeleti hatóság bármikor kérheti más érintett felügyeleti hatóságoktól a 61. cikk szerinti kölcsönös segítségnyújtást és végezhet a 62. cikk szerinti közös műveleteket, különösen olyan vizsgálatok lefolytatása vagy olyan intézkedések végrehajtásának nyomon követése céljából, amelyek valamely másik tagállamban tevékenységi hellyel rendelkező adatkezelővel, illetve adatfeldolgozóval kapcsolatosak.

(3)   A fő felügyeleti hatóság késedelem nélkül közli a többi érintett felügyeleti hatósággal az üggyel kapcsolatos releváns információkat. A döntés tervezetét haladéktalanul benyújtja a többi érintett felügyeleti hatóságnak, hogy azok véleményezhessék, és véleményüket kellően figyelembe veszi.

(4)   Ha a többi érintett felügyeleti hatóság valamelyike az e cikk (3) bekezdése szerinti konzultációt követő négy héten belül releváns és megalapozott kifogást emel a döntéstervezettel szemben, a fő felügyeleti hatóság, ha nem ért egyet a releváns és megalapozott kifogással, vagy azt nem találja relevánsnak vagy megalapozottnak, az ügyet a 63. cikkben említett, egységességi mechanizmus keretében kezeli.

(5)   Ha a fő felügyeleti hatóság helyt kíván adni a releváns és megalapozott kifogásnak, módosított döntéstervezetet nyújt be a többi érintett felügyeleti hatóságnak, hogy azok véleményezhessék. A módosított döntéstervezet tekintetében két héten belül kell lefolytatni a (4) bekezdésben említett eljárást.

(6)   Ha a (4), illetve az (5) bekezdésben említett határidőn belül a többi érintett felügyeleti hatóság egyike sem emel kifogást a fő felügyeleti hatóság által benyújtott döntéstervezettel szemben, úgy kell tekinteni, hogy a fő felügyeleti hatóság és az érintett felügyeleti hatóságok egyetértenek a döntéstervezettel és az rájuk nézve kötelező.

(7)   A fő felügyeleti hatóság elfogadja a döntését és közli azt az adatkezelő, vagy adott esetben az adatfeldolgozó tevékenységi központjával vagy egyetlen tevékenységi helyével, továbbá a releváns tények és indokok összefoglalásával tájékoztatja a szóban forgó döntésről a többi érintett felügyeleti hatóságot és a Testületet. Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a panaszost a döntésről.

(8)   Amennyiben a panaszt visszautasították vagy elutasították, a (7) bekezdéstől eltérve az a felügyeleti hatóság fogadja el a döntést, közli a panaszosal, és tájékoztatja az adatkezelőt, amelyhez a panaszt benyújtották.

(9)   Ha a fő felügyeleti hatóság és az érintett felügyeleti hatóságok egyetértenek abban, hogy a panasz egyes részeit visszautasítják vagy elutasítják, más részeivel kapcsolatban viszont eljárnak, külön döntést fogadnak el az ügy minden ilyen részére vonatkozóan. Az adatkezelővel kapcsolatos intézkedéseket érintő részre vonatkozó döntést a fő felügyeleti hatóság fogadja el, és közli az adatkezelőnek, illetve az adatfeldolgozónak a hatóság tagállama területén lévő tevékenységi központjával vagy egyetlen tevékenységi helyével, valamint tájékoztatja a panaszost; a panasz visszautasított vagy elutasított részére vonatkozó döntést a panaszos felügyeleti hatósága fogadja el, és közli a panaszossal, valamint tájékoztatja az adatkezelőt vagy az adatfeldolgozót.

(10)   Az adatkezelő, illetve az adatfeldolgozó, miután a (7) vagy a (9) bekezdésnek megfelelően közölték vele a fő felügyeleti hatóság döntését, megteszi a szükséges intézkedéseket annak érdekében, hogy az adatkezelési tevékenységek az Unióban lévő minden tevékenységi helyén megfeleljenek a döntésben foglaltaknak. Az adatkezelő, illetve az adatfeldolgozó közli a fő felügyeleti hatósággal a döntésnek való megfelelés érdekében tett intézkedéseket, ezt követően a fő felügyeleti hatóság tájékoztatja a többi érintett felügyeleti hatóságot.

(11)   Ha egy érintett felügyeleti hatóság rendkívüli körülmények fennállása esetén megalapozottan úgy véli, hogy az érintettek érdekeinek védelme érdekében sürgős fellépésre van szükség, a 66. cikkben említett sürgősségi eljárást kell alkalmazni.

(12)   A fő felügyeleti hatóság és a többi érintett felügyeleti hatóság elektronikus úton, egységes formátum alkalmazásával továbbítja egymásnak az e cikkben előírt információkat.

61. cikk

Kölcsönös segítségnyújtás

(1)   A felügyeleti hatóságok e rendelet egységes végrehajtása és alkalmazása érdekében megosztják egymással a releváns információkat, és kölcsönösen segítséget nyújtanak egymásnak, valamint a hatékony együttműködést célzó intézkedéseket tesznek. A kölcsönös segítségnyújtás különösen információkérésekre és felügyeleti intézkedésekre, például az előzetes engedélyezés és egyeztetés, az ellenőrzés és a vizsgálat lefolytatása iránti megkeresésekre terjed ki.

(2)   Minden felügyeleti hatóság megteszi a megfelelő intézkedéseket annak érdekében, hogy a más felügyeleti hatóságtól érkező megkereséseket indokolatlan késedelem nélkül, de legkésőbb a megkeresés kézhezvételétől számított egy hónapon belül megválaszolja. Ezen intézkedések közé tartozhat különösen a vizsgálatok lefolytatásával kapcsolatos releváns információk továbbítása.

(3)   A segítségnyújtás iránti megkeresésnek minden szükséges információt tartalmaznia kell, beleértve a megkeresés célját és okait. A kicserélt információk kizárólag a megkeresésben meghatározott célra használhatók fel.

(4)   A megkeresett felügyeleti hatóság csak abban az esetben tagadhatja meg a megkeresés teljesítését, ha:

| a) | a megkeresés tárgyát vagy a kért intézkedés végrehajtását illetően nem jogosult eljárni; vagy |
| --- | --- |

a)

a megkeresés tárgyát vagy a kért intézkedés végrehajtását illetően nem jogosult eljárni; vagy

| b) | a megkeresés teljesítése sértené e rendeletet, az uniós vagy azon tagállami jogot, amelynek hatálya alá a megkeresett felügyeleti hatóság tartozik. |
| --- | --- |

b)

a megkeresés teljesítése sértené e rendeletet, az uniós vagy azon tagállami jogot, amelynek hatálya alá a megkeresett felügyeleti hatóság tartozik.

(5)   A megkeresett felügyeleti hatóság tájékoztatja a megkereső felügyeleti hatóságot az ügyben elért eredményekről vagy adott esetben a megkeresés teljesítése érdekében hozott intézkedésekkel kapcsolatos fejleményekről. Ha a felügyeleti hatóság megtagadja a megkeresés teljesítését, ezt köteles a (4) bekezdésnek megfelelően indokolni.

(6)   A megkeresett felügyeleti hatóságok főszabályként elektronikus úton, egységes formátum alkalmazásával továbbítják a másik felügyeleti hatóság által kért információt.

(7)   A megkeresett felügyeleti hatóság által a kölcsönös segítségnyújtás iránti megkeresés nyomán tett intézkedések térítésmentesek. A felügyeleti hatóságok megállapodhatnak más felügyeleti hatóságokkal a rendkívüli körülmények közötti kölcsönös segítségnyújtásból eredő különleges költségek kölcsönös megtérítésére vonatkozó szabályokról.

(8)   Ha egy felügyeleti hatóság a másik felügyeleti hatóság megkeresésének kézhezvételétől számított egy hónapon belül nem adja meg az e cikk (5) bekezdésében említett információkat, a megkereső felügyeleti hatóság az 55. cikk (1) bekezdésével összhangban a saját tagállama területén ideiglenes intézkedést fogadhat el. Ebben az esetben vélelmezni kell, hogy a 66. cikk (1) bekezdése szerinti sürgős fellépésre van szükség, és a Testület sürgősségi eljárás keretében kötelező erejű döntést fogad el a 66. cikk (2) bekezdésével összhangban.

(9)   A Bizottság végrehajtási jogi aktusok révén meghatározhatja az e cikk szerinti kölcsönös segítségnyújtás formáját és eljárásait, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti elektronikus információcserére vonatkozó szabályokat, különösen az e cikk (6) bekezdésében említett egységes formátumot. Ezeket a végrehajtási jogi aktusokat a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

62. cikk

A felügyeleti hatóságok közös műveletei

(1)   A felügyeleti hatóságok adott esetben közös műveleteket hajtanak végre, ideértve a közös vizsgálatokat és a közös végrehajtási intézkedéseket is, amelyekben más tagállamok felügyeleti hatóságainak tagjai vagy alkalmazottai is részt vesznek.

(2)   Ha az adatkezelő vagy az adatfeldolgozó több tagállamban is rendelkezik tevékenységi hellyel, vagy ha az adatkezelési műveletek több tagállamban is valószínűsíthetően jelentős mértékben érintenek nagyszámú érintettet, az összes szóban forgó tagállam felügyeleti hatósága jogosult részt venni a közös műveletekben. Az 56. cikk (1) vagy (4) bekezdése alapján illetékes felügyeleti hatóság felkéri az összes szóban forgó tagállam felügyeleti hatóságát, hogy vegyenek részt a közös műveletekben, és haladéktalanul válaszol a felügyeleti hatóság részvételre irányuló megkeresésére.

(3)   A felügyeleti hatóság a tagállami joggal összhangban, valamint a kirendelő felügyeleti hatóság engedélyével, hatáskört – ideértve a vizsgálati hatáskört is – ruházhat át a kirendelő felügyeleti hatóság közös műveletben részt vevő tagjaira vagy alkalmazottaira, vagy – amennyiben a fogadó felügyeleti hatóság tagállamának joga lehetővé teszi –, engedélyezheti a kirendelő felügyeleti hatóság tagjai vagy alkalmazottai számára, hogy vizsgálati hatáskörüket a kirendelő felügyeleti hatóság tagállami jogának megfelelően gyakorolják. A vizsgálati hatáskört kizárólag a fogadó felügyeleti hatóság tagjainak vagy alkalmazottainak irányítása mellett és jelenlétében lehet gyakorolni. A kirendelő felügyeleti hatóság tagjai vagy alkalmazottai a fogadó felügyeleti hatóság tagállami jogának hatálya alá tartoznak.

(4)   Ha egy kirendelő felügyeleti hatóság alkalmazottai az (1) bekezdésnek megfelelően egy másik tagállamban végeznek tevékenységet, cselekedeteikért, ideértve a tevékenységük során általuk okozott károkat is, a fogadó felügyeleti hatóság tagállama viseli a felelősséget a tevékenységvégzés helye szerinti tagállam jogának megfelelően.

(5)   A károkozás helye szerinti tagállam a kárt ugyanolyan feltételek mellett téríti meg, mintha azt a saját alkalmazottai okozták volna. Azon kirendelő felügyeleti hatóság tagállama, amelynek alkalmazottai egy másik tagállam területén valamely személynek kárt okoztak, teljes mértékben megtéríti ennek a másik tagállamnak azt az összeget, amelyet az a kártérítésre jogosult személynek kifizetett.

(6)   A harmadik felekkel szembeni jogai gyakorlásának sérelme nélkül és az (5) bekezdésben foglaltak kivételével, az (1) bekezdésben meghatározott esetben minden tagállam eltekint attól, hogy a (4) bekezdésben említett károk megtérítését követelje egy másik tagállamtól.

(7)   Ha egy felügyeleti hatóság egy tervezett közös művelet esetében, egy hónapon belül nem tesz eleget az e cikk (2) bekezdése második mondatában foglalt kötelezettségnek, a többi felügyeleti hatóság az 55. cikkel összhangban a saját tagállama területén ideiglenes intézkedést fogadhat el. Ebben az esetben vélelmezni kell, hogy a 66. cikk (1) bekezdése szerinti sürgős fellépésre van szükség, és a Testület sürgősségi eljárás keretében véleményt bocsát ki vagy kötelező erejű döntést fogad el a 66. cikk (2) bekezdésével összhangban.

2. szakasz

Egységesség

63. cikk

Az egységességi mechanizmus

Az e rendeletnek az Unió egész területén történő egységes alkalmazásához való hozzájárulás érdekében a felügyeleti hatóságok együttműködnek egymással és adott esetben a Bizottsággal az e szakaszban meghatározott egységességi mechanizmus útján.

64. cikk

Az Európai Adatvédelmi Testület véleménye

(1)   A Testület véleményt bocsát ki, ha valamely illetékes felügyeleti hatóság az alábbiakban felsorolt intézkedések valamelyikének elfogadását tervezi. Ebből a célból az illetékes felügyeleti hatóságnak közölnie kell a döntéstervezetet a Testülettel, ha a döntés:

| a) | olyan adatkezelési műveletek jegyzékének az elfogadására irányul, amelyekre a 35. cikk (4) bekezdése szerint vonatkozik az adatvédelmi hatásvizsgálat követelménye; |
| --- | --- |

a)

olyan adatkezelési műveletek jegyzékének az elfogadására irányul, amelyekre a 35. cikk (4) bekezdése szerint vonatkozik az adatvédelmi hatásvizsgálat követelménye;

| b) | a 40. cikk (7) bekezdése szerint azon kérdésre vonatkozik, hogy valamely magatartási kódex tervezete, illetve valamely magatartási kódex módosítása vagy bővítése összhangban van-e ezzel a rendelettel; |
| --- | --- |

b)

a 40. cikk (7) bekezdése szerint azon kérdésre vonatkozik, hogy valamely magatartási kódex tervezete, illetve valamely magatartási kódex módosítása vagy bővítése összhangban van-e ezzel a rendelettel;

| c) | a 41. cikk (3) bekezdése szerint valamely szervezet, illetve a 43 cikk (3) bekezdése szerint valamely tanúsító szervezet akkreditációjára vonatkozó szempontok jóváhagyására irányul; |
| --- | --- |

c)

a 41. cikk (3) bekezdése szerint valamely szervezet, illetve a 43 cikk (3) bekezdése szerint valamely tanúsító szervezet akkreditációjára vonatkozó szempontok jóváhagyására irányul;

| d) | a 46. cikk (2) bekezdésének d) pontjában és a 28. cikk (8) bekezdésében említett általános adatvédelmi kikötések meghatározására irányul; |
| --- | --- |

d)

a 46. cikk (2) bekezdésének d) pontjában és a 28. cikk (8) bekezdésében említett általános adatvédelmi kikötések meghatározására irányul;

| e) | a 46. cikk (3) bekezdésének a) pontjában említett szerződéses rendelkezések engedélyezésére irányul; vagy |
| --- | --- |

e)

a 46. cikk (3) bekezdésének a) pontjában említett szerződéses rendelkezések engedélyezésére irányul; vagy

| f) | a 47. cikk szerinti kötelező erejű vállalati szabályok jóváhagyására irányul. |
| --- | --- |

f)

a 47. cikk szerinti kötelező erejű vállalati szabályok jóváhagyására irányul.

(2)   Bármely felügyeleti hatóság, a Testület elnöke vagy a Bizottság kérheti, hogy a Testület vizsgáljon meg egy általános érvényű vagy egynél több tagállamban hatással bíró ügyet, és bocsásson ki róla véleményt, különösen, ha valamely illetékes felügyeleti hatóság nem teljesíti a 61. cikk szerinti kölcsönös segítségnyújtás vagy a 62. cikk szerinti közös műveletek tekintetében fennálló kötelezettségeit.

(3)   Az (1) és (2) bekezdésben említett esetekben a Testület véleményt bocsát ki az elé terjesztett ügyről, kivéve, ha ugyanazon ügyről már bocsátott ki véleményt. A véleményt a Testület nyolc héten belül, tagjainak egyszerű többségével fogadja el. Az ügy összetettségére figyelemmel ez a határidő további hat héttel meghosszabbítható. Az (1) bekezdésben említett, a Testület tagjai részére a (5) bekezdésnek megfelelően eljuttatott döntéstervezetet illetően úgy kell tekinteni, hogy azok a tagok, akik az elnök által megszabott észszerű határidőn belül nem emeltek kifogást, egyetértenek a döntéstervezettel.

(4)   A felügyeleti hatóságok és a Bizottság indokolatlan késedelem nélkül elektronikus úton, egységes formátum alkalmazásával közölnek a Testülettel minden releváns információt, ideértve az esettől függően a tények összefoglalóját, a döntéstervezetet, az intézkedés megtételét szükségessé tevő indokokat, és más érintett felügyeleti hatóságok véleményét.

(5)   A Testület elnöke indokolatlan késedelem nélkül elektronikus úton tájékoztatja:

| a) | egységes formátum alkalmazásával tájékoztatja a Testület tagjait és a Bizottságot a vele közölt releváns információkról. A Testület titkársága szükség esetén gondoskodik a releváns információk fordításáról; és |
| --- | --- |

a)

egységes formátum alkalmazásával tájékoztatja a Testület tagjait és a Bizottságot a vele közölt releváns információkról. A Testület titkársága szükség esetén gondoskodik a releváns információk fordításáról; és

| b) | tájékoztatja az esettől függően az (1) vagy a (2) bekezdésben említett felügyeleti hatóságot, valamint a Bizottságot a véleményről, amelyet nyilvánosságra hoz. |
| --- | --- |

b)

tájékoztatja az esettől függően az (1) vagy a (2) bekezdésben említett felügyeleti hatóságot, valamint a Bizottságot a véleményről, amelyet nyilvánosságra hoz.

(6)   Az illetékes felügyeleti hatóság a (3) bekezdésben említett határidőn belül nem fogadhatja el az (1) bekezdésben említett döntéstervezetét.

(7)   Az (1) bekezdésben említett felügyeleti hatóság a lehető legnagyobb mértékben figyelembe veszi a Testület véleményét, és a vélemény kézhezvételét követő két héten belül, elektronikus úton, egységes formátum alkalmazásával közli a Testület elnökével, hogy a döntéstervezetet változatlan formában fenntartja-e, vagy pedig módosítani fogja, és adott esetben megküldi a módosított döntéstervezetet.

(8)   Ha az érintett felügyeleti hatóság az e cikk (7) bekezdésében említett határidőn belül, a releváns indokok megadásával arról tájékoztatja a Testület elnökét, hogy egészében vagy részben nem kíván a Testület véleménye alapján eljárni, akkor a 65. cikk (1) bekezdését kell alkalmazni.

65. cikk

A Testület vitarendezési eljárása

(1)   Annak érdekében, hogy az egyes esetekben biztosított legyen e rendelet helyes és egységes alkalmazása, a Testület kötelező erejű döntést fogad el az alábbi esetekben:

| a) | ha a 60. cikk (4) bekezdésében említett esetben valamely érintett felügyeleti hatóság releváns és megalapozott kifogást emelt a fő felügyeleti hatóság döntéstervezetével szemben, vagy ha a fő felügyeleti hatóság elutasított egy ilyen kifogást arra hivatkozva, hogy az nem releváns vagy nem megalapozott. A kötelező erejű döntésnek ki kell terjednie a releváns és megalapozott kifogásban szereplő összes kérdésre, különösen arra, hogy a rendelet sérült-e; |
| --- | --- |

a)

ha a 60. cikk (4) bekezdésében említett esetben valamely érintett felügyeleti hatóság releváns és megalapozott kifogást emelt a fő felügyeleti hatóság döntéstervezetével szemben, vagy ha a fő felügyeleti hatóság elutasított egy ilyen kifogást arra hivatkozva, hogy az nem releváns vagy nem megalapozott. A kötelező erejű döntésnek ki kell terjednie a releváns és megalapozott kifogásban szereplő összes kérdésre, különösen arra, hogy a rendelet sérült-e;

| b) | ha eltérnek az álláspontok azt illetően, hogy az érintett felügyeleti hatóságok közül melyik illetékes a tevékenységi központ tekintetében; |
| --- | --- |

b)

ha eltérnek az álláspontok azt illetően, hogy az érintett felügyeleti hatóságok közül melyik illetékes a tevékenységi központ tekintetében;

| c) | ha valamely illetékes felügyeleti hatóság nem kéri ki a Testület véleményét a 64. cikk (1) bekezdésében említett esetekben, vagy nem a Testület által a 64. cikk alapján kibocsátott vélemény alapján jár el. Ebben az esetben bármely érintett felügyeleti hatóság vagy a Bizottság a Testület tudomására hozhatja az ügyet. |
| --- | --- |

c)

ha valamely illetékes felügyeleti hatóság nem kéri ki a Testület véleményét a 64. cikk (1) bekezdésében említett esetekben, vagy nem a Testület által a 64. cikk alapján kibocsátott vélemény alapján jár el. Ebben az esetben bármely érintett felügyeleti hatóság vagy a Bizottság a Testület tudomására hozhatja az ügyet.

(2)   Az (1) bekezdésben említett döntést a Testület az ügy benyújtásától számított egy hónapon belül, tagjainak kétharmados többségével fogadja el. Az ügy összetettségére figyelemmel ez a határidő további egy hónappal meghosszabbítható. Az (1) bekezdésben említett döntést indokolni kell, és meg kell küldeni a fő felügyeleti hatóságnak és minden érintett felügyeleti hatóságnak, amelyekre nézve kötelező erővel rendelkezik.

(3)   Ha a Testület döntését nem képes a (2) bekezdésben említett határidőkön belül elfogadni, a döntést a (2) bekezdésben említett második hónap leteltét követő két héten belül, tagjainak egyszerű többségével fogadja el. A Testület tagjainak szavazategyenlősége esetén a döntés elfogadásáról az elnök szavazata dönt.

(4)   Az érintett felügyeleti hatóságok a (2) és (3) bekezdésben említett határidők lejártáig nem fogadhatnak el döntést az (1) bekezdés alapján a Testület elé terjesztett ügyről.

(5)   A Testület elnöke indokolatlan késedelem nélkül értesíti az érintett felügyeleti hatóságokat az (1) bekezdésben említett döntésről. Erről tájékoztatnia kell a Bizottságot. A döntést haladéktalanul közzé kell tenni a Testület honlapján azt követően, hogy a felügyeleti hatóság bejelentette a (6) bekezdésben említett jogerős döntést.

(6)   A fő felügyeleti hatóság vagy – az esettől függően – az a felügyeleti hatóság, amelyhez a panaszt benyújtották, az e cikk (1) bekezdésében említett döntés alapján indokolatlan késedelem nélkül, de legkésőbb egy hónappal azt követően, hogy a Testület bejelentette döntését elfogadja jogerős döntését. A fő felügyeleti hatóság vagy – az esettől függően – az a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a Testületet arról a dátumról, amikor az adatkezelővel, az adatfeldolgozóval, illetve az érintettel közli jogerős döntését. Az érintett felügyeleti hatóságok jogerős döntését a 60. cikk (7), (8) és (9) bekezdésében foglaltaknak megfelelően kell elfogadni. A jogerős döntésben utalni kell az e cikk (1) bekezdésben említett döntésre, valamint közölni kell, hogy az (1) bekezdésében említett döntést a (5) bekezdéssel összhangban közzé fogják tenni a Testület honlapján. A jogerős döntéshez csatolni kell az e cikk (1) bekezdésében említett döntést.

66. cikk

Sürgősségi eljárás

(1)   Ha egy érintett felügyeleti hatóság rendkívüli körülmények fennállása esetén, úgy véli, hogy az érintettek jogainak és szabadságainak védelme érdekében sürgős fellépésre van szükség, akkor a 63., 64. és 65. cikkben említett egységességi mechanizmustól, illetve a 60. cikkben említett eljárástól eltérve haladéktalanul legfeljebb három hónapra szóló meghatározott érvényességi idejű ideiglenes intézkedéseket fogadhat el abból a célból, hogy saját tagállama területén joghatást váltson ki. A felügyeleti hatóság haladéktalanul közli az ilyen intézkedéseket és elfogadásuk indokait a többi érintett felügyeleti hatósággal, a Testülettel és a Bizottsággal.

(2)   Ha egy felügyeleti hatóság az (1) bekezdés szerinti intézkedést hozott, és úgy véli, hogy végleges intézkedések sürgős elfogadására van szükség, kérését megindokolva kérheti a Testületet, hogy sürgősségi eljárás keretében bocsásson ki véleményt vagy fogadjon el kötelező erejű döntést.

(3)   Kérését a sürgős fellépés szükségességére kiterjedően is megindokolva bármely felügyeleti hatóság kérheti a Testületet, hogy sürgősségi eljárás keretében az esettől függően bocsásson ki véleményt vagy fogadjon el kötelező erejű döntést, ha valamely illetékes felügyeleti hatóság nem tett megfelelő intézkedést olyan helyzetben, amikor az érintettek jogainak és szabadságainak védelme érdekében sürgős fellépésre van szükség.

(4)   A 64. cikk (3) bekezdésétől és a 65. cikk (2) bekezdésétől eltérve az e cikk (2) és (3) bekezdésében említett, sürgősségi eljárás keretében elfogadandó véleményt, illetve kötelező erejű döntést a Testület két héten belül, tagjainak egyszerű többségével fogadja el.

67. cikk

Információcsere

A Bizottság általános hatályú végrehajtási jogi aktusok elfogadása révén meghatározhatja a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti elektronikus információcserére vonatkozó szabályokat, különösen a 64. cikkben említett egységes formátumot.

Ezeket a végrehajtási jogi aktusokat a 93. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

3. szakasz

Európai adatvédelmi testület

68. cikk

Az Európai Adatvédelmi Testület

(1)   Létrejön az Európai Adatvédelmi Testület („a Testület”) mint jogi személyiséggel rendelkező uniós szerv.

(2)   A Testületet az elnöke képviseli.

(3)   A Testület minden tagállam egy felügyeleti hatóságának vezetőjéből és az európai adatvédelmi biztosból vagy azok képviselőiből áll.

(4)   Ha valamely tagállamban egynél több felügyeleti hatóság felelős az e rendelet szerinti rendelkezések alkalmazásának ellenőrzéséért, közös képviselőt kell kinevezni az érintett tagállam jogának megfelelően.

(5)   A Bizottság szavazati jog nélkül részt vehet a Testület tevékenységében és ülésein. A Bizottság kijelöli képviselőjét. A Testület elnöke tájékoztatja a Bizottságot a Testület tevékenységeiről.

(6)   A 65. cikkben említett esetekben az európai adatvédelmi biztos kizárólag az uniós intézményekre, szervekre, hivatalokra és ügynökségekre alkalmazandó azon elveket és szabályokat érintő döntések tekintetében rendelkezik szavazati joggal, amelyek tartalmilag megfelelnek az e rendeletben foglalt elveknek és szabályoknak.

69. cikk

Függetlenség

(1)   A Testület a 70. és 71. cikk szerinti feladatainak ellátása, illetve hatásköreinek gyakorlása során függetlenül jár el.

(2)   A 70. cikk (1) bekezdésének b) pontjában és a 70. cikk (2) bekezdésében említett, a Bizottságtól érkező kérések sérelme nélkül, a Testület feladatainak ellátása, illetve hatásköreinek gyakorlása során nem kérhet, és nem fogadhat el utasítást.

70. cikk

Az Európai Adatvédelmi Testület feladatai

(1)   A Testület biztosítja e rendelet egységes alkalmazását. Ennek érdekében a Testület saját kezdeményezésére vagy adott esetben a Bizottság kérésére ellátja különösen a következő feladatokat:

| a) | ellenőrzi és biztosítja e rendelet helyes alkalmazását a 64. és 65. cikkben meghatározott esetekben, a nemzeti felügyeleti hatóságok feladatainak sérelme nélkül; |
| --- | --- |

a)

ellenőrzi és biztosítja e rendelet helyes alkalmazását a 64. és 65. cikkben meghatározott esetekben, a nemzeti felügyeleti hatóságok feladatainak sérelme nélkül;

| b) | tanácsot ad a Bizottságnak a személyes adatok Unión belüli védelmével kapcsolatos kérdésekben, ideértve az e rendelet módosítására irányuló javaslatokat is; |
| --- | --- |

b)

tanácsot ad a Bizottságnak a személyes adatok Unión belüli védelmével kapcsolatos kérdésekben, ideértve az e rendelet módosítására irányuló javaslatokat is;

| c) | tanácsot ad a Bizottságnak az adatkezelők, az adatfeldolgozók és a felügyeleti hatóságok között a kötelező erejű vállalati szabályokkal kapcsolatban folytatott információcsere formátumára és eljárásaira vonatkozóan; |
| --- | --- |

c)

tanácsot ad a Bizottságnak az adatkezelők, az adatfeldolgozók és a felügyeleti hatóságok között a kötelező erejű vállalati szabályokkal kapcsolatban folytatott információcsere formátumára és eljárásaira vonatkozóan;

| d) | iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a személyes adatokra mutató linkeknek, az ilyen adatok másolatainak vagy másodpéldányainak a nyilvánosság számára hozzáférhető kommunikációs szolgáltatásokból történő törlésére vonatkozóan, a 17. cikk (2) bekezdésben említettek szerint; |
| --- | --- |

d)

iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a személyes adatokra mutató linkeknek, az ilyen adatok másolatainak vagy másodpéldányainak a nyilvánosság számára hozzáférhető kommunikációs szolgáltatásokból történő törlésére vonatkozóan, a 17. cikk (2) bekezdésben említettek szerint;

| e) | saját kezdeményezésére, illetve valamely tagjának vagy a Bizottságnak a kérésére megvizsgálja az e rendelet alkalmazását érintő kérdéseket, valamint e rendelet egységes alkalmazásának elősegítése érdekében iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki; |
| --- | --- |

e)

saját kezdeményezésére, illetve valamely tagjának vagy a Bizottságnak a kérésére megvizsgálja az e rendelet alkalmazását érintő kérdéseket, valamint e rendelet egységes alkalmazásának elősegítése érdekében iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki;

| f) | e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a 22. cikk (2) bekezdése szerinti profilalkotáson alapuló döntéshozatalra vonatkozó szempontok és feltételek további pontosítása érdekében; |
| --- | --- |

f)

e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a 22. cikk (2) bekezdése szerinti profilalkotáson alapuló döntéshozatalra vonatkozó szempontok és feltételek további pontosítása érdekében;

| g) | e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a 33. cikk (1) és (2) bekezdésében említett adatvédelmi incidens és indokolatlan késedelem tényének megállapítására, valamint azokra a konkrét körülményekre vonatkozóan, amelyek fennállása esetén az adatkezelőnek vagy az adatfeldolgozónak be kell jelentenie az adatvédelmi incidenst; |
| --- | --- |

g)

e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a 33. cikk (1) és (2) bekezdésében említett adatvédelmi incidens és indokolatlan késedelem tényének megállapítására, valamint azokra a konkrét körülményekre vonatkozóan, amelyek fennállása esetén az adatkezelőnek vagy az adatfeldolgozónak be kell jelentenie az adatvédelmi incidenst;

| h) | e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki azokra a körülményekre vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a 34. cikk (1) bekezdésében említettek szerint; |
| --- | --- |

h)

e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki azokra a körülményekre vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a 34. cikk (1) bekezdésében említettek szerint;

| i) | e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az adatkezelők, illetve az adatfeldolgozók által követett, a kötelező erejű vállalati szabályokon alapuló, személyes adatok továbbítására vonatkozó, a 47. cikkben említett szempontok és követelmények, valamint az érintettek személyes adatainak védelmét biztosítani hivatott ugyanazon cikkben említett egyéb szükséges követelmények további pontosítása céljából; |
| --- | --- |

i)

e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az adatkezelők, illetve az adatfeldolgozók által követett, a kötelező erejű vállalati szabályokon alapuló, személyes adatok továbbítására vonatkozó, a 47. cikkben említett szempontok és követelmények, valamint az érintettek személyes adatainak védelmét biztosítani hivatott ugyanazon cikkben említett egyéb szükséges követelmények további pontosítása céljából;

| j) | e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a személyes adatoknak a 49. cikk (1) bekezdése alapján történő továbbítására vonatkozó szempontok és előírások további pontosítása céljából; |
| --- | --- |

j)

e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki a személyes adatoknak a 49. cikk (1) bekezdése alapján történő továbbítására vonatkozó szempontok és előírások további pontosítása céljából;

| k) | iránymutatásokat dolgoz ki a felügyeleti hatóságok számára az 58. cikk (1), (2) és (3) bekezdésében említett intézkedések alkalmazására, valamint a 83. cikk szerinti közigazgatási bírságok megállapítására vonatkozóan; |
| --- | --- |

k)

iránymutatásokat dolgoz ki a felügyeleti hatóságok számára az 58. cikk (1), (2) és (3) bekezdésében említett intézkedések alkalmazására, valamint a 83. cikk szerinti közigazgatási bírságok megállapítására vonatkozóan;

| l) | felülvizsgálja az e), illetve f) pontban említett iránymutatások, ajánlások és legjobb gyakorlatok gyakorlati alkalmazását; |
| --- | --- |

l)

felülvizsgálja az e), illetve f) pontban említett iránymutatások, ajánlások és legjobb gyakorlatok gyakorlati alkalmazását;

| m) | e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az 54. cikk (2) bekezdésben említett, a természetes személyek által e rendelet megsértését illetően tett bejelentésekre vonatkozó közös eljárások megállapítása érdekében,; |
| --- | --- |

m)

e bekezdés e) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az 54. cikk (2) bekezdésben említett, a természetes személyek által e rendelet megsértését illetően tett bejelentésekre vonatkozó közös eljárások megállapítása érdekében,;

| n) | ösztönzi a magatartási kódexek kidolgozását, valamint az adatvédelmi tanúsítási mechanizmusok és az adatvédelmi bélyegzők, illetve jelölések létrehozását a 40. és 42. cikkben említettek szerint; |
| --- | --- |

n)

ösztönzi a magatartási kódexek kidolgozását, valamint az adatvédelmi tanúsítási mechanizmusok és az adatvédelmi bélyegzők, illetve jelölések létrehozását a 40. és 42. cikkben említettek szerint;

| o) | a 43. cikknek megfelelően elvégzi a tanúsító szervezetek akkreditációját és annak rendszeres felülvizsgálatát, nyilvános nyilvántartást vezet egyrészt a 43. cikk (6) bekezdése szerint az akkreditált szervezetekről, másrészt a 42. cikk (7) bekezdése szerint a harmadik országban tevékenységi hellyel rendelkező akkreditált adatkezelőkről és adatfeldolgozókról; |
| --- | --- |

o)

a 43. cikknek megfelelően elvégzi a tanúsító szervezetek akkreditációját és annak rendszeres felülvizsgálatát, nyilvános nyilvántartást vezet egyrészt a 43. cikk (6) bekezdése szerint az akkreditált szervezetekről, másrészt a 42. cikk (7) bekezdése szerint a harmadik országban tevékenységi hellyel rendelkező akkreditált adatkezelőkről és adatfeldolgozókról;

| p) | részletesen meghatározza a 43. cikk (3) bekezdésében említett követelményeket a tanúsító szervezetek 42. cikk szerinti akkreditációja céljából; |
| --- | --- |

p)

részletesen meghatározza a 43. cikk (3) bekezdésében említett követelményeket a tanúsító szervezetek 42. cikk szerinti akkreditációja céljából;

| q) | véleményezi a Bizottság számára a 43. cikk (8) bekezdésében említett tanúsítási követelményeket; |
| --- | --- |

q)

véleményezi a Bizottság számára a 43. cikk (8) bekezdésében említett tanúsítási követelményeket;

| r) | véleményezi a Bizottság számára a 12. cikk (7) bekezdésében említett ikonokat; |
| --- | --- |

r)

véleményezi a Bizottság számára a 12. cikk (7) bekezdésében említett ikonokat;

| s) | véleményt bocsát ki a Bizottság számára a valamely harmadik országban vagy nemzetközi szervezetben biztosított védelmi szint megfelelőségének megítéléséhez, ideértve annak megállapítását is, ha a harmadik ország, a harmadik ország valamely területe vagy egy vagy több meghatározott ágazata, vagy a nemzetközi szervezet már nem biztosít megfelelő védelmi szintet. A Bizottság e célból biztosítja a Testület számára az összes szükséges dokumentációt, köztük a harmadik ország kormányával, a harmadik ország, annak valamely területe vagy meghatározott ágazata tekintetében, illetve a nemzetközi szervezettel folytatott levélváltást; |
| --- | --- |

s)

véleményt bocsát ki a Bizottság számára a valamely harmadik országban vagy nemzetközi szervezetben biztosított védelmi szint megfelelőségének megítéléséhez, ideértve annak megállapítását is, ha a harmadik ország, a harmadik ország valamely területe vagy egy vagy több meghatározott ágazata, vagy a nemzetközi szervezet már nem biztosít megfelelő védelmi szintet. A Bizottság e célból biztosítja a Testület számára az összes szükséges dokumentációt, köztük a harmadik ország kormányával, a harmadik ország, annak valamely területe vagy meghatározott ágazata tekintetében, illetve a nemzetközi szervezettel folytatott levélváltást;

| t) | az egységességi mechanizmus keretében véleményt bocsát ki a felügyeleti hatóságok 64 cikk (1) bekezdése szerinti döntéstervezeteiről, a 64. cikk (2) bekezdésének megfelelően elé terjesztett ügyekről,, valamint a 65. cikk értelmében – ideértve a 66. cikkben említett eseteket is – kötelező erejű döntéseket hoz; |
| --- | --- |

t)

az egységességi mechanizmus keretében véleményt bocsát ki a felügyeleti hatóságok 64 cikk (1) bekezdése szerinti döntéstervezeteiről, a 64. cikk (2) bekezdésének megfelelően elé terjesztett ügyekről,, valamint a 65. cikk értelmében – ideértve a 66. cikkben említett eseteket is – kötelező erejű döntéseket hoz;

| u) | előmozdítja az együttműködést, valamint az információk és gyakorlatok hatékony két- vagy többoldalú cseréjét a felügyeleti hatóságok között; |
| --- | --- |

u)

előmozdítja az együttműködést, valamint az információk és gyakorlatok hatékony két- vagy többoldalú cseréjét a felügyeleti hatóságok között;

| v) | támogatja a közös képzési programokat, továbbá megkönnyíti a csereprogramokat a felügyeleti hatóságok között, valamint adott esetben harmadik országok felügyeleti hatóságaival vagy nemzetközi szervezetekkel; |
| --- | --- |

v)

támogatja a közös képzési programokat, továbbá megkönnyíti a csereprogramokat a felügyeleti hatóságok között, valamint adott esetben harmadik országok felügyeleti hatóságaival vagy nemzetközi szervezetekkel;

| w) | az adatvédelmi felügyeleti hatóságok körében világszerte előmozdítja az adatvédelmi jogszabályokra és gyakorlatokra vonatkozó ismeretek és dokumentáció cseréjét; |
| --- | --- |

w)

az adatvédelmi felügyeleti hatóságok körében világszerte előmozdítja az adatvédelmi jogszabályokra és gyakorlatokra vonatkozó ismeretek és dokumentáció cseréjét;

| x) | véleményt bocsát ki a 40. cikk (9) bekezdése szerinti, uniós szinten kidolgozott magatartási kódexekről; és |
| --- | --- |

x)

véleményt bocsát ki a 40. cikk (9) bekezdése szerinti, uniós szinten kidolgozott magatartási kódexekről; és

| y) | nyilvánosan hozzáférhető elektronikus nyilvántartást vezet az egységességi mechanizmus keretében kezelt ügyekkel kapcsolatban a felügyeleti hatóságok és a bíróságok által hozott határozatokról. |
| --- | --- |

y)

nyilvánosan hozzáférhető elektronikus nyilvántartást vezet az egységességi mechanizmus keretében kezelt ügyekkel kapcsolatban a felügyeleti hatóságok és a bíróságok által hozott határozatokról.

(2)   A Bizottság, ha tanácsot kér a Testülettől, az ügy sürgősségét figyelembe véve határidőt jelölhet meg.

(3)   A Testület továbbítja a véleményeit, iránymutatásait, ajánlásait és legjobb gyakorlatait a Bizottságnak és a 93. cikkben említett bizottságnak, és nyilvánosságra hozza azokat.

(4)   A Testület adott esetben konzultál az érintett felekkel, és lehetőséget biztosít számukra, hogy észszerű határidőn belül közöljék észrevételeiket. A Testület, a 76. cikk sérelme nélkül,nyilvánosan elérhetővé teszi a konzultációs eljárás eredményeit.

71. cikk

Jelentések

(1)   A Testület éves jelentést készít a természetes személyeknek az Unióban, valamint adott esetben harmadik országokban és nemzetközi szervezetekben folyó adatkezelés tekintetében történő védelméről. A jelentést közzé kell tenni, és továbbítani kell az Európai Parlamentnek, a Tanácsnak és a Bizottságnak.

(2)   Az éves jelentés tartalmazza a 70. cikk (1) bekezdésének l) pontjában említett iránymutatások, ajánlások és legjobb gyakorlatok gyakorlati alkalmazásának, valamint a 65. cikkben említett kötelező erejű határozatoknak az áttekintését.

72. cikk

Eljárás

(1)   A Testület tagjainak egyszerű többségével hozza meg döntéseit, kivéve, ha ez a rendelet eltérően rendelkezik.

(2)   A Testület tagjainak kétharmados többségével elfogadja saját eljárási szabályzatát, és megállapítja működési rendjét.

73. cikk

Az elnök

(1)   A Testület a tagjai közül egyszerű többséggel elnököt és két elnökhelyettest választ.

(2)   Az elnök és az elnökhelyettesek megbízatása öt évre szól, és egy alkalommal megújítható.

74. cikk

Az elnök feladatai

(1)   Az elnök feladatai a következők:

| a) | összehívja a Testület üléseit, és összeállítja azok napirendjét; |
| --- | --- |

a)

összehívja a Testület üléseit, és összeállítja azok napirendjét;

| b) | a Testület által a 65. cikknek megfelelően elfogadott döntéseket közli a fő felügyeleti hatósággal és az érintett felügyeleti hatóságokkal; |
| --- | --- |

b)

a Testület által a 65. cikknek megfelelően elfogadott döntéseket közli a fő felügyeleti hatósággal és az érintett felügyeleti hatóságokkal;

| c) | biztosítja a Testület feladatainak időben történő elvégzését, különösen az 63. cikkben említett egységességi mechanizmussal összefüggésben. |
| --- | --- |

c)

biztosítja a Testület feladatainak időben történő elvégzését, különösen az 63. cikkben említett egységességi mechanizmussal összefüggésben.

(2)   A Testületnek az eljárási szabályzatában meghatározza az elnök és az elnökhelyettesek közötti feladatmegosztást.

75. cikk

Titkárság

(1)   A Testület titkársággal rendelkezik, amelyet az európai adatvédelmi biztos biztosít.

(2)   A titkárság kizárólag a Testület elnökének utasításai alapján végzi a feladatait.

(3)   Az európai adatvédelmi biztos azon alkalmazottait, akik az e rendelettel a Testületre ruházott feladatok ellátásában részt vesznek, az európai adatvédelmi biztosra ruházott feladatok ellátásában részt vevő alkalmazottaktól eltérő függelmi rendszerben kell alkalmazni.

(4)   A Testület és az európai adatvédelmi biztos adott esetben e cikk végrehajtásáról egyetértési megállapodást kötnek, amelyet közzétesznek, és ebben rendelkeznek együttműködésük feltételeiről; e megállapodást kell alkalmazni az európai adatvédelmi biztos hivatalának azon alkalmazottaira, akik részt vesznek az e rendelettel a Testületre ruházott feladatok ellátásában.

(5)   A titkárság elemzési, igazgatási és logisztikai támogatást nyújt a Testületnek.

(6)   A titkárság különösen a következőkért felel:

| a) | a Testület napi működése; |
| --- | --- |

a)

a Testület napi működése;

| b) | a Testület tagjai, elnöke és a Bizottság közötti kommunikáció, |
| --- | --- |

b)

a Testület tagjai, elnöke és a Bizottság közötti kommunikáció,

| c) | a más intézményekkel és a nyilvánossággal folytatott kommunikáció; |
| --- | --- |

c)

a más intézményekkel és a nyilvánossággal folytatott kommunikáció;

| d) | az elektronikus eszközök használata a belső és külső kommunikáció céljára; |
| --- | --- |

d)

az elektronikus eszközök használata a belső és külső kommunikáció céljára;

| e) | a releváns információk fordítása; |
| --- | --- |

e)

a releváns információk fordítása;

| f) | a Testület üléseinek előkészítése és az azokat követő intézkedések; |
| --- | --- |

f)

a Testület üléseinek előkészítése és az azokat követő intézkedések;

| g) | a Testület által elfogadott vélemények, a felügyeleti hatóságok közötti viták rendezéséről szóló döntések és egyéb szövegek előkészítése, szövegezése és közzététele. |
| --- | --- |

g)

a Testület által elfogadott vélemények, a felügyeleti hatóságok közötti viták rendezéséről szóló döntések és egyéb szövegek előkészítése, szövegezése és közzététele.

76. cikk

Titoktartás

(1)   A Testület megbeszélései az eljárási szabályzat előírásai szerint titkosak, ha a Testület azt szükségesnek tartja.

(2)   A Testület tagjainak, a szakértőknek és a harmadik felek képviselőinek benyújtott dokumentumokhoz való hozzáférésre az 1049/2001/EK európai parlamenti és tanácsi rendelet (21) az irányadó.

VIII. FEJEZET

Jogorvoslat, felelősség és szankciók

77. cikk

A felügyeleti hatóságnál történő panasztételhez való jog

(1)   Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

(2)   Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, köteles tájékoztatni az ügyfelet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy a 78. cikk alapján az ügyfél jogosult bírósági jogorvoslattal élni.

78. cikk

A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog

(1)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.

(2)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden érintett jogosult a hatékony bírósági jogorvoslatra, ha az 55. vagy 56. cikk alapján illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet a 77. cikk alapján benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.

(3)   A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani.

(4)   Ha a felügyeleti hatóság olyan döntése ellen indítanak eljárást, amellyel kapcsolatban az egységességi mechanizmus keretében a Testület előzőleg véleményt bocsátott ki vagy döntést hozott, a felügyeleti hatóság köteles ezt a véleményt vagy döntést a bíróságnak megküldeni.

79. cikk

Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog

(1)   A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 77. cikk szerinti jog – sérelme nélkül, minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait.

(2)   Az adatkezelővel vagy az adatfeldolgozóval szembeni eljárást az adatkezelő vagy az adatfeldolgozó tevékenységi helye szerinti tagállam bírósága előtt kell megindítani. Az ilyen eljárás megindítható az érintett szokásos tartózkodási helye szerinti tagállam bírósága előtt is, kivéve, ha az adatkezelő vagy az adatfeldolgozó valamely tagállamnak a közhatalmi jogkörében eljáró közhatalmi szerve.

80. cikk

Az érintettek képviselete

(1)   Az érintett jogosult arra, hogy panaszának a nevében történő benyújtásával, a 77., 78. és 79. cikkben említett jogoknak a nevében való gyakorlásával, valamint – ha a tagállam joga ezt lehetővé teszi – a 82. cikkben említett kártérítési jognak a nevében történő érvényesítésével olyan nonprofit jellegű szervet, szervezetet vagy egyesületet bízzon meg, amelyet valamely tagállam jogának megfelelően hoztak létre, és amelynek az alapszabályában rögzített céljai a közérdeket szolgálják, és amely az érintettek jogainak és szabadságainak a személyes adataik vonatkozásában biztosított védelme területén tevékenykedik.

(2)   A tagállamok rendelkezhetnek úgy, hogy az adott tagállamban az e cikk (1) bekezdésében említett bármely szerv, szervezet vagy egyesület – az érintettől kapott megbízástól függetlenül – jogosult legyen arra, hogy a 77. cikk alapján eljárni jogosult felügyeleti hatósághoz panaszt nyújtson be, valamint hogy gyakorolja a 78. és 79. cikkben említett jogokat, ha megítélése szerint az érintett személyes adatainak kezelése következtében megsértették az érintett e rendelet szerinti jogait.

81. cikk

Az eljárás felfüggesztése

(1)   Ha valamely tagállam illetékes bírósága információval rendelkezik arról, hogy ugyanazon adatkezelő vagy adatfeldolgozó adatkezelése tekintetében, ugyanabban a tárgyban egy másik tagállam bírósága előtt eljárás van folyamatban, köteles megkeresni e másik tagállam bíróságát, hogy megbizonyosodjon arról, valóban folyamatban van-e ilyen eljárás.

(2)   Ha ugyanazon adatkezelő vagy adatfeldolgozó adatkezelése tekintetében, ugyanabban a tárgyban egy másik tagállam bírósága előtt eljárás van folyamatban, valamennyi olyan illetékes bíróság, amely előtt az eljárás később indult meg, felfüggesztheti az előtte folyó eljárást.

(3)   Ha ezen eljárások első fokon vannak folyamatban, valamennyi olyan bíróság, amely előtt az eljárás később indult meg, valamely fél kérelmére joghatóságának hiányát is megállapíthatja, ha az említett eljárásokra az a bíróság, amely előtt elsőként indult meg az eljárás, joghatósággal rendelkezik, és a rá vonatkozó jog az eljárások egyesítését lehetővé teszi.

82. cikk

A kártérítéshez való jog és a felelősség

(1)   Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.

(2)   Az adatkezelésben érintett valamennyi adatkezelő felelősséggel tartozik minden olyan kárért, amelyet az e rendeletet sértő adatkezelés okozott. Az adatfeldolgozó csak abban az esetben tartozik felelősséggel az adatkezelés által okozott károkért, ha nem tartotta be az e rendeletben meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta vagy azokkal ellentétesen járt el.

(3)   Az adatkezelő, illetve az adatfeldolgozó mentesül az e cikk (2) bekezdése szerinti felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.

(4)   Ha több adatkezelő vagy több adatfeldolgozó vagy mind az adatkezelő mind az adatfeldolgozó érintett ugyanabban az adatkezelésben, és – a (2) és (3) bekezdés alapján – felelősséggel tartozik az adatkezelés által okozott károkért, minden egyes adatkezelő vagy adatfeldolgozó az érintett tényleges kártérítésének biztosítása érdekében egyetemleges felelősséggel tartozik a teljes kárért.

(5)   Ha valamely adatkezelő vagy adatfeldolgozó a (4) bekezdéssel összhangban teljes kártérítést fizetett az elszenvedett kárért, jogosult arra, hogy az ugyanazon adatkezelésben érintett többi adatkezelőtől vagy adatfeldolgozótól visszaigényelje a kártérítésnek azt a részét, amely megfelel a (2) bekezdésben megállapított feltételek értelmében a károkozásért viselt felelősségük mértékének.

(6)   A kártérítéshez való jog érvényesítését célzó bírósági eljárást az előtt a bíróság előtt kell megindítani, amely a 79. cikk (2) bekezdésében említett tagállam joga szerint illetékes.

83. cikk

A közigazgatási bírságok kiszabására vonatkozó általános feltételek

(1)   Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

(2)   A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

| a) | a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; |
| --- | --- |

a)

a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

| b) | a jogsértés szándékos vagy gondatlan jellege; |
| --- | --- |

b)

a jogsértés szándékos vagy gondatlan jellege;

| c) | az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; |
| --- | --- |

c)

az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

| d) | az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; |
| --- | --- |

d)

az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

| e) | az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; |
| --- | --- |

e)

az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;

| f) | a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; |
| --- | --- |

f)

a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

| g) | a jogsértés által érintett személyes adatok kategóriái; |
| --- | --- |

g)

a jogsértés által érintett személyes adatok kategóriái;

| h) | az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; |
| --- | --- |

h)

az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

| i) | ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; |
| --- | --- |

i)

ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

| j) | az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint |
| --- | --- |

j)

az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint

| k) | az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. |
| --- | --- |

k)

az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.

(3)   Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében – szándékosan vagy gondatlanságból – e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget.

(4)   Az alábbi rendelkezések megsértése – a (2) bekezdéssel összhangban – legfeljebb 10 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2 %-át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:

| a) | az adatkezelő és az adatfeldolgozó tekintetében a 8., a 11., a 25-39., a 42. és a 43. cikkben meghatározott kötelezettségek; |
| --- | --- |

a)

az adatkezelő és az adatfeldolgozó tekintetében a 8., a 11., a 25-39., a 42. és a 43. cikkben meghatározott kötelezettségek;

| b) | a tanúsító szervezet tekintetében a 42. és 43. cikkben meghatározott kötelezettségek; |
| --- | --- |

b)

a tanúsító szervezet tekintetében a 42. és 43. cikkben meghatározott kötelezettségek;

| c) | az ellenőrző szervezet tekintetében a 41. cikk (4) bekezdésében meghatározott kötelezettségek; |
| --- | --- |

c)

az ellenőrző szervezet tekintetében a 41. cikk (4) bekezdésében meghatározott kötelezettségek;

(5)   Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

| a) | az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; |
| --- | --- |

a)

az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően;

| b) | az érintettek jogai a 12–22. cikknek megfelelően; |
| --- | --- |

b)

az érintettek jogai a 12–22. cikknek megfelelően;

| c) | személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; |
| --- | --- |

c)

személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően;

| d) | a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; |
| --- | --- |

d)

a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;

| e) | a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. |
| --- | --- |

e)

a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.

(6)   A felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának be nem tartása – az e cikk (2) bekezdésével összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni.

(7)   A felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű.

(8)   A felügyeleti hatóság e cikk szerinti hatásköreit megfelelő, az uniós és a tagállami joggal összhangban álló eljárási garanciák – ideértve a hatékony jogorvoslat lehetőségét és a tisztességes eljárást – biztosításával gyakorolja.

(9)   Ha a tagállam jogrendszere nem rendelkezik közigazgatási bírságokról, e cikk oly módon alkalmazható, hogy a bírságot az illetékes felügyeleti hatóság kezdeményezésére az illetékes nemzeti bíróság rója ki e jogorvoslatok hatékonyságának és a felügyeleti hatóságok által kiszabott közigazgatási bírságokéval megegyező hatásának biztosítása mellett. A kiszabott bírságoknak minden esetben hatékonynak, arányosnak és visszatartó erejűnek kell lenniük. E tagállamok az e bekezdésnek megfelelően elfogadott jogszabályokról 2018. május 25-ig, az ezt követően azokat módosító jogszabályokról, illetve az azokat érintő későbbi módosításokról pedig haladéktalanul értesítik a Bizottságot.

84. cikk

Szankciók

(1)   A tagállamok megállapítják az e rendelet megsértése esetén alkalmazandó további szankciókra vonatkozó szabályokat, különösen azon jogsértések tekintetében, amelyek nem tartoznak a 83. cikkben meghatározott, közigazgatási bírságokkal sújtható jogsértések közé, és meghoznak minden szükséges intézkedést ezek végrehajtására. E szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük.

(2)   A tagállamok az (1) bekezdésnek megfelelően elfogadott jogszabályokról 2018. május 25-ig, az e szabályokat érintő minden későbbi módosításról pedig haladéktalanul tájékoztatják a Bizottságot.

IX. FEJEZET

Az adatkezelés különös eseteire vonatkozó rendelkezések

85. cikk

A személyes adatok kezelése és a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog

(1)   A tagállamok jogszabályban összeegyeztetik a személyes adatok e rendelet szerinti védelméhez való jogot a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal, ideértve a személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelését is.

(2)   A személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelésére vonatkozóan a tagállamok kivételeket vagy eltéréseket határoznak meg a II. fejezet (elvek), a III. fejezet (az érintett jogai), a IV. fejezet (az adatkezelő és az adatfeldolgozó), az V. fejezet (a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása), a VI. fejezet (független felügyeleti hatóságok), a VII. fejezet (együttműködés és egységesség) és a IX. fejezet (az adatkezelés különös esetei) alól, ha e kivételek vagy eltérések szükségesek ahhoz, hogy a személyes adatok védelméhez való jogot össze lehessen egyeztetni a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal.

(3)   A tagállamok értesítik a Bizottságot azon jogi rendelkezésekről, amelyeket a (2) bekezdés alapján elfogadtak, továbbá haladéktalanul értesítik a Bizottságot az említett jogi rendelkezéseket érintő későbbi módosító jogszabályokról, illetve módosításokról.

86. cikk

A személyes adatok kezelése és a hivatalos dokumentumokhoz való nyilvános hozzáférés

A közérdekű feladat teljesítése céljából közhatalmi szervek, vagy egyéb, közfeladatot ellátó szervek, illetve magánfél szervezetek birtokában lévő hivatalos dokumentumokban szereplő személyes adatokat az adott szerv vagy szervezet az uniós joggal vagy a szervre vagy szervezetre alkalmazandó tagállami joggal összhangban nyilvánosságra hozhatja annak érdekében, hogy a hivatalos dokumentumokhoz való nyilvános hozzáférést összeegyeztesse a személyes adatok e rendelet szerinti védelméhez való joggal.

87. cikk

A nemzeti azonosító számok kezelése

A tagállamok részletesebben meghatározhatják a nemzeti azonosító számok vagy egyéb általános jellegű azonosító jelek kezelésének konkrét feltételeit. Ebben az esetben a nemzeti azonosító számok, illetve az egyéb általános jellegű azonosító jelek felhasználására kizárólag az érintett jogainak és szabadságainak e rendelet szerinti megfelelő garanciái mellett kerülhet sor.

88. cikk

Adatkezelés a foglalkoztatással összefüggően

(1)   A tagállamok jogszabályban vagy kollektív szerződésekben pontosabban meghatározott szabályokat állapíthatnak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében, különösen a munkaerő-felvétel, a munkaszerződés teljesítése céljából, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokféleséget, a munkahelyi egészségvédelmet és biztonságot, a munkáltató vagy a fogyasztó tulajdonának védelmét is, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlása és élvezete céljából, valamint a munkaviszony megszüntetése céljából.

(2)   E szabályok olyan megfelelő és egyedi intézkedéseket foglalnak magukban, amelyek alkalmasak az érintett emberi méltóságának, jogos érdekeinek és alapvető jogainak megóvására, különösen az adatkezelés átláthatósága, vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli adattovábbítás, valamint a munkahelyi ellenőrzési rendszerek tekintetében.

(3)   Minden tagállam legkésőbb 2018. május 25-ig értesíti a Bizottságot azon jogi rendelkezésekről, amelyeket az (1) bekezdés alapján elfogad, továbbá haladéktalanul értesíti a Bizottságot az említett jogi rendelkezéseket érintő későbbi módosításokról.

89. cikk

A közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott adatkezelésre vonatkozó garanciák és eltérések

(1)   A személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott kezelését e rendelettel összhangban az érintett jogait és szabadságait védő megfelelő garanciák mellett kell végezni. E garanciáknak biztosítaniuk kell, hogy olyan technikai és szervezési intézkedések legyenek érvényben, melyek biztosítják különösen az adattakarékosság elvének betartását. Ezen intézkedések közé tartozhat az álnevesítés, amennyiben az említett célok ily módon megvalósíthatók. Amennyiben e célok megvalósíthatók az adatok oly módon történő további kezelése révén, amely nem vagy már nem teszi lehetővé az érintettek azonosítását, a célokat ilyen módon kell megvalósítani.

(2)   A személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott kezelése vonatkozásában az uniós vagy a tagállami jog – az e cikk (1) bekezdésében említett feltételekre és garanciákra is figyelemmel – eltérést állapíthat meg a 15., 16., 18. és 21. cikkben említett jogokat illetően, ha e jogok valószínűsíthetően lehetetlenné teszik vagy súlyosan hátráltatják az adott célok elérését, és azok megvalósításához szükség van ilyen eltérésre.

(3)   A személyes adatok közérdekű archiválás céljából való kezelése vonatkozásában az uniós vagy a tagállami jog – az e cikk (1) bekezdésében említett feltételekre és garanciákra is figyelemmel – eltérést állapíthat meg a 15., 16., 18., 19., 20. és 21. cikkben említett jogokat illetően, ha e jogok valószínűsíthetően lehetetlenné teszik vagy súlyosan hátráltatják az adott célok elérését, és azok megvalósításához szükség van ilyen eltérésre.

(4)   Ha a (2), illetve (3) bekezdésben említett adatkezelés egyidejűleg más célokat is szolgál, az eltérést kizárólag az érintett bekezdésben említett adatkezelési célokra kell alkalmazni.

90. cikk

Titoktartási kötelezettségek

(1)   A tagállamok egyedi szabályokat fogadhatnak el annak érdekében, hogy meghatározzák a felügyeleti hatóságoknak az 58. cikk (1) bekezdésének e) és f) pontjában foglalt hatáskörét olyan adatkezelőkre vagy adatfeldolgozókra vonatkozóan, amelyek az uniós vagy a tagállami jog alapján, vagy az illetékes nemzeti szervek által alkotott szabályok alapján szakmai titoktartási kötelezettség vagy azzal egyenértékű egyéb titoktartási kötelezettség hatálya alá tartoznak, ha ez szükséges és arányos a személyes adatok védelméhez való jog és a titoktartási kötelezettség összeegyeztetése érdekében. E szabályokat csak azokra a személyes adatokra kell alkalmazni, amelyeket az adatkezelő vagy az adatfeldolgozó e titoktartási kötelezettség hatálya alá tartozó tevékenység során kapott vagy szerzett.

(2)   Minden tagállam legkésőbb 2018. május 25-ig értesíti a Bizottságot az (1) bekezdés alapján elfogadott szabályokról, továbbá haladéktalanul értesíti a Bizottságot az említett szabályokat érintő későbbi módosításokról.

91. cikk

Egyházak és vallási szervezetek létező adatvédelmi szabályai

(1)   Ha egy tagállamban egyház, illetve vallási szervezet vagy közösség e rendelet hatálybalépésének időpontjában átfogó szabályokat alkalmaz a természetes személyek személyes adatok kezelése tekintetében történő védelme vonatkozásában, e szabályok tovább alkalmazhatók, ha összhangba hozzák őket e rendelettel.

(2)   Az e cikk (1) bekezdésének megfelelően átfogó szabályokat alkalmazó egyház vagy vallási szervezet egy független felügyeleti hatóság ellenőrzése alá tartozik, amely lehet egy külön, e céljra egyedileg kijelölt hatóság is, feltéve hogy megfelel az e rendelet VI. fejezetében megállapított feltételeknek.

X. FEJEZET

Felhatalmazáson alapuló jogi aktusok és végrehajtási jogi aktusok

92. cikk

A felhatalmazás gyakorlása

(1)   A felhatalmazáson alapuló jogi aktusok elfogadására vonatkozóan a Bizottság részére adott felhatalmazás gyakorlásának feltételeit ez a cikk határozza meg.

(2)   A Bizottságnak a 12. cikk (8) bekezdésében és a 43. cikk (8) bekezdésében említett, felhatalmazáson alapuló jogi aktus elfogadására vonatkozó felhatalmazása határozatlan időre 2016. május 24-től kezdődő hatállyal.

(3)   Az Európai Parlament vagy a Tanács bármikor visszavonhatja a 12. cikk (8) bekezdésében és a 43. cikk (8) bekezdésében említett felhatalmazást. A visszavonásról szóló határozat megszünteti az abban meghatározott felhatalmazást. A határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő napon, vagy a benne megjelölt későbbi időpontban lép hatályba. A határozat nem érinti a már hatályban lévő, felhatalmazáson alapuló jogi aktusok érvényességét.

(4)   A Bizottság a felhatalmazáson alapuló jogi aktus elfogadását követően haladéktalanul és egyidejűleg értesíti arról az Európai Parlamentet és a Tanácsot.

(5)   A 12. cikk (8) bekezdése és a 43. cikk (8) bekezdése értelmében elfogadott, felhatalmazáson alapuló jogi aktus csak akkor lép hatályba, ha az Európai Parlamentnek és a Tanácsnak a jogi aktusról való értesítését követő három hónapon belül sem az Európai Parlament, sem a Tanács nem emelt ellene kifogást, illetve ha az említett időtartam lejártát megelőzően mind az Európai Parlament, mind a Tanács arról tájékoztatta a Bizottságot, hogy nem fog kifogást emelni. Az Európai Parlament vagy a Tanács kezdeményezésére ez az időtartam három hónappal meghosszabbodik.

93. cikk

Bizottsági eljárásrend

(1)   A Bizottság munkáját egy bizottság segíti. Ez a bizottság a 182/2011/EU rendelet szerinti bizottság.

(2)   Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 5. cikkét kell alkalmazni.

(3)   Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendeletnek az 5. cikkével együtt értelmezett 8. cikkét kell alkalmazni.

XI. FEJEZET

Záró rendelkezések

94. cikk

A 95/46/EK irányelv hatályon kívül helyezése

(1)   A 95/46/EK irányelv 2018. május 25-i hatállyal hatályát veszti.

(2)   A hatályon kívül helyezett irányelvre történő hivatkozásokat az e rendeletre történő hivatkozásnak kell tekinteni. A 95/46/EK irányelv 29. cikke által létrehozott, a természetes személyeknek a személyes adatok feldolgozása tekintetében való védelmével foglalkozó munkacsoportra történő hivatkozást az e rendelet által létrehozott Európai Adatvédelmi Testületre történő hivatkozásnak kell tekinteni.

95. cikk

Kapcsolat a 2002/58/EK irányelvvel

E rendelet nem ró további kötelezettségeket a természetes vagy jogi személyekre az Unión belüli nyilvános hírközlési hálózatokon keresztül történő nyilvánosan elérhető hírközlési szolgáltatással összefüggésben kezelt adatok tekintetében azon kérdésekkel kapcsolatban, amelyek vonatkozásában ők a 2002/58/EK irányelvben megállapított, azonos célkitűzésekkel bíró különös kötelezettségek hatálya alá tartoznak.

96. cikk

Kapcsolat korábban kötött megállapodásokkal

A tagállamok által az 2016. május 24. előtt kötött azon nemzetközi megállapodások, melyek személyes adatok harmadik országok vagy nemzetközi szervezetek részére történő továbbításáról rendelkeznek, és amelyek megfelelnek az említett dátum előtt alkalmazandó uniós jognak, módosításukig, felváltásukig vagy visszavonásukig változatlanul hatályban maradnak.

97. cikk

A Bizottság jelentései

(1)   A Bizottság 2020. május 25-ig és minden azt követő negyedik évben jelentést terjeszt az Európai Parlament és a Tanács elé e rendelet értékeléséről és felülvizsgálatáról.

(2)   Az (1) bekezdésben említett értékelések és felülvizsgálat keretében a Bizottság különösen a következő rendelkezések alkalmazását és hatékonyságát vizsgálja:

| a) | a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbításáról szóló V. fejezet, különös tekintettel az e rendelet 43. cikkének (3) bekezdése szerint, valamint a 95/46/EK irányelv 25. cikkének (6) bekezdése alapján elfogadott határozatokra; |
| --- | --- |

a)

a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbításáról szóló V. fejezet, különös tekintettel az e rendelet 43. cikkének (3) bekezdése szerint, valamint a 95/46/EK irányelv 25. cikkének (6) bekezdése alapján elfogadott határozatokra;

| b) | az együttműködésről és az egységességről szóló VII. fejezet. |
| --- | --- |

b)

az együttműködésről és az egységességről szóló VII. fejezet.

(3)   A Bizottság az (1) bekezdésben említett célokból információkat kérhet a tagállamoktól és a felügyeleti hatóságoktól.

(4)   A Bizottság az (1) és (2) bekezdésben említett értékelések és felülvizsgálatok során figyelembe veszi az Európai Parlament, a Tanács és az egyéb érintett szervek vagy források álláspontját és megállapításait.

(5)   A Bizottság szükség esetén megfelelő javaslatokat nyújt be e rendelet módosítására, figyelembe véve különösen az információs technológia fejlődését és az információs társadalom fejlődési szintjét.

98. cikk

Az egyéb uniós adatvédelmi aktusok felülvizsgálata

A Bizottság adott esetben jogalkotási javaslatokat nyújt be a személyes adatok védelméről szóló egyéb uniós jogi aktusok módosítására, a természetes személyek személyes adataik kezelése tekintetében való védelmének egységessége és következetessége érdekében. Ez különösen a természetes személyeknek a személyes adataik uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelmére és a személyes adatok szabad áramlására vonatkozó szabályokat érinti.

99. cikk

Hatálybalépés és alkalmazás

(1)   Ez a rendelet az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.

(2)   Ezt a rendeletet 2018. május 25-től kell alkalmazni.

Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.

Kelt Brüsszelben, 2016. április 27-én.

az Európai Parlament részéről

az elnök

M. SCHULZ

a Tanács részéről

az elnök

J.A. HENNIS-PLASSCHAERT

---

(1)  
  HL C 229., 2012.7.31., 90. o.

1

(2)  
  HL C 391., 2012.12.18., 127. o.

2

(3)  Az Európai Parlament 2014. március 12-i álláspontja (a Hivatalos Lapban még nem tették közzé) és a Tanács 2016. április 8-i álláspontja első olvasatban. Az Európai Parlament 2016. április 14-i álláspontja.

3

(4)  Az Európai Parlament és a Tanács 95/46/EK irányelve (1995. október 24.) a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (HL L 281., 1995.11.23., 31. o.).

4

(5)  A Bizottság 2003/361/EK ajánlása (2003. május 6.) a mikro-, kis- és középvállalkozások fogalma kapcsán a kis- és közepes méretű vállalkozások meghatározásáról (C(2003) 1422) (HL L 124., 2003.5.20., 36. o.).

5

(6)  Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról (HL L 8., 2001.1.12., 1. o.).

6

(7)  Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IBtanácsi kerethatározat hatályon kívül helyezéséről (lásd e Hivatalos lap 89. oldalát).

7

(8)  Az Európai Parlament és a Tanács 2000/31/EK irányelve (2000. június 8.) a belső piacon az információs társadalommal összefüggő szolgáltatások, különösen az elektronikus kereskedelem, egyes jogi vonatkozásairól (Elektronikus kereskedelemről szóló irányelv) (HL L 178., 2000.7.17., 1. o.).

8

(9)  Az Európai Parlament és a Tanács 2011/24/EU irányelve (2011. március 9.) a határon átnyúló egészségügyi ellátásra vonatkozó betegjogok érvényesítéséről (HL L 88., 2011.4.4., 45. o.).

9

(10)  A Tanács 93/13/EGK irányelve (1993. április 5.) a fogyasztókkal kötött szerződésekben alkalmazott tisztességtelen feltételekről (HL L 95., 1993.4.21., 29. o.).

10

(11)  Az Európai Parlament és a Tanács 1338/2008/EK rendelete ( 2008. december 16.) a népegészségre és a munkahelyi egészségre és biztonságra vonatkozó közösségi statisztikáról (HL L 354., 2008.12.31., 70. o.).

11

(12)  Az Európai Parlament és a Tanács 182/2011/EU rendelete (2011. február 16.) a Bizottság végrehajtási hatásköreinek gyakorlására vonatkozó tagállami ellenőrzési mechanizmusok szabályainak és általános elveinek megállapításáról (HL L 55., 2011.2.28., 13. o.).

12

(13)  Az Európai Parlament és a Tanács 1215/2012/EU rendelete (2012. december 12.) a polgári és kereskedelmi ügyekben a joghatóságról, valamint a határozatok elismeréséről és végrehajtásáról (HL L 351., 2012.12.20., 1. o.).

13

(14)  Az Európai Parlament és a Tanács 2003/98/EK irányelve (2003. november 17.) a közszféra információinak további felhasználásáról (HL L 345., 2003.12.31., 90. o.).

14

(15)  Az Európai Parlament és a Tanács 536/2014/EU rendelete (2014. április 16.) az emberi felhasználásra szánt gyógyszerek klinikai vizsgálatairól és a 2001/20/EK irányelv hatályon kívül helyezéséről (HL L 158., 2014.5.27., 1. o.).

15

(16)  Az Európai Parlament és a Tanács 223/2009/EK rendelete (2009. március 11.) az európai statisztikákról és a titoktartási kötelezettség hatálya alá tartozó statisztikai adatoknak az Európai Közösségek Statisztikai Hivatala részére történő továbbításáról szóló 1101/2008/EK, Euratom európai parlamenti és tanácsi rendelet, a közösségi statisztikákról szóló 322/97/EK tanácsi rendelet és az Európai Közösségek statisztikai programbizottságának létrehozásáról szóló 89/382/EGK, Euratom tanácsi határozat hatályon kívül helyezéséről (HL L 87., 2009.3.31., 164. o.).

16

(17)  
  HL C 192., 2012.6.30., 7. o.

17

(18)  Az Európai Parlament és a Tanács 2002/58/EK irányelve (2002. július 12.) az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről (Elektronikus hírközlési adatvédelmi irányelv) (HL L 201., 2002.7.31., 37. o.).

18

(19)  Az Európai Parlament és Tanács (EU) 2015/1535 irányelve (2015. szeptember 9.) a műszaki szabályokkal és az információs társadalom szolgáltatásaira vonatkozó szabályokkal kapcsolatos információszolgáltatási eljárás megállapításáról (HL L 241., 2015.9.17., 1. o.)

19

(20)  Az Európai Parlament és a Tanács 765/2008/EK rendelete (2008. július 9.) a termékek forgalmazása tekintetében az akkreditálás és piacfelügyelet előírásainak megállapításáról és a 339/93/EGK rendelet hatályon kívül helyezéséről (HL L 218., 2008.8.13., 30. o.).

20

(21)  Az Európai Parlament és a Tanács 1049/2001/EK rendelete (2001. május 30.) az Európai Parlament, a Tanács és a Bizottság dokumentumaihoz való nyilvános hozzáférésről (HL L 145., 2001.5.31., 43. o.).

21

---

IRÁNYELVEK

| 2016.5.4. | HU | Az Európai Unió Hivatalos Lapja | L 119/89 |
| --- | --- | --- | --- |

2016.5.4.

HU

Az Európai Unió Hivatalos Lapja

L 119/89

---

AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/680 IRÁNYELVE

(2016. április 27)

a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 16. cikke (2) bekezdésére,

tekintettel az Európai Bizottság javaslatára,

a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,

tekintettel a Régiók Bizottságának véleményére (1),

rendes jogalkotási eljárás keretében (2),

mivel:

| (1) | A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. |
| --- | --- |

(1)

A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

| (2) | A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelméhez kapcsolódó alapelvek és szabályok a természetes személyek állampolgárságától és lakóhelyétől függetlenül tiszteletben tartják e természetes személyek alapvető jogait és szabadságait, különösen ami a személyes adataik védelméhez való jogukat illeti. Ez az irányelv szándékoltan hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség megteremtéséhez. |
| --- | --- |

(2)

A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelméhez kapcsolódó alapelvek és szabályok a természetes személyek állampolgárságától és lakóhelyétől függetlenül tiszteletben tartják e természetes személyek alapvető jogait és szabadságait, különösen ami a személyes adataik védelméhez való jogukat illeti. Ez az irányelv szándékoltan hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség megteremtéséhez.

| (3) | A gyors technológiai fejlődésből és a globalizációból adódóan a személyes adatok védelme új kihívásokkal néz szembe. A személyes adatok gyűjtésének és megosztásának mértéke jelentősen megnövekedett. A technológia a személyes adatok minden eddiginél nagyobb mértékű kezelését teszi lehetővé olyan tevékenységek végzése érdekében is, mint a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása. |
| --- | --- |

(3)

A gyors technológiai fejlődésből és a globalizációból adódóan a személyes adatok védelme új kihívásokkal néz szembe. A személyes adatok gyűjtésének és megosztásának mértéke jelentősen megnövekedett. A technológia a személyes adatok minden eddiginél nagyobb mértékű kezelését teszi lehetővé olyan tevékenységek végzése érdekében is, mint a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása.

| (4) | Ennek érdekében elő kell segíteni az Unión belül az illetékes hatóságok között a személyes adatok szabad áramlását a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása – többek között az Unión belül a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából, valamint az ilyen személyes adatoknak a harmadik országok és nemzetközi szervezetek részére történő továbbítását, biztosítva egyúttal a személyes adatok magas szintű védelmét. Ezek a fejlemények a személyes adatok védelmére vonatkozó szilárd és következetesebb keret létrehozását teszik szükségessé az Unióban, amelyet a szabályok szigorú betartatása kísér. |
| --- | --- |

(4)

Ennek érdekében elő kell segíteni az Unión belül az illetékes hatóságok között a személyes adatok szabad áramlását a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása – többek között az Unión belül a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából, valamint az ilyen személyes adatoknak a harmadik országok és nemzetközi szervezetek részére történő továbbítását, biztosítva egyúttal a személyes adatok magas szintű védelmét. Ezek a fejlemények a személyes adatok védelmére vonatkozó szilárd és következetesebb keret létrehozását teszik szükségessé az Unióban, amelyet a szabályok szigorú betartatása kísér.

| (5) | A 95/46/EK európai parlamenti és tanácsi irányelv (3) alkalmazandó a személyes adatoknak a tagállamokban mind a közszférában, mind a magánszférában végzett valamennyi kezelésére. Az említett irányelv mindazonáltal nem vonatkozik a személyes adatoknak a közösségi jog hatályán kívül eső tevékenységek során – így például a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés terén folytatott tevékenységek során – végzett kezelésére. |
| --- | --- |

(5)

A 95/46/EK európai parlamenti és tanácsi irányelv (3) alkalmazandó a személyes adatoknak a tagállamokban mind a közszférában, mind a magánszférában végzett valamennyi kezelésére. Az említett irányelv mindazonáltal nem vonatkozik a személyes adatoknak a közösségi jog hatályán kívül eső tevékenységek során – így például a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés terén folytatott tevékenységek során – végzett kezelésére.

| (6) | A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területeire a 2008/977/IB tanácsi kerethatározatot (4) kell alkalmazni. E kerethatározat hatálya a tagállamok között továbbított vagy hozzáférhetővé tett személyes adatok kezelésére korlátozódik. |
| --- | --- |

(6)

A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területeire a 2008/977/IB tanácsi kerethatározatot (4) kell alkalmazni. E kerethatározat hatálya a tagállamok között továbbított vagy hozzáférhetővé tett személyes adatok kezelésére korlátozódik.

| (7) | A büntetőügyekben folytatott hatékony igazságügyi együttműködés és rendőrségi együttműködés biztosítása érdekében alapvető fontosságú a természetes személyek személyes adatainak következetes és magas szintű védelme, valamint a tagállamok illetékes hatóságai között a személyes adatok cseréjének elősegítése. Ebből a célból az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében végzett személyesadat-kezeléssel összefüggésben a természetes személyek jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A személyes adatok Unió egészére kiterjedő hatékony védelme érdekében mind az érintettek jogait, mind a személyes adatok kezelőinek kötelezettségeit megerősíteni szükséges, valamint a tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatásköröket kell biztosítani. |
| --- | --- |

(7)

A büntetőügyekben folytatott hatékony igazságügyi együttműködés és rendőrségi együttműködés biztosítása érdekében alapvető fontosságú a természetes személyek személyes adatainak következetes és magas szintű védelme, valamint a tagállamok illetékes hatóságai között a személyes adatok cseréjének elősegítése. Ebből a célból az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében végzett személyesadat-kezeléssel összefüggésben a természetes személyek jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A személyes adatok Unió egészére kiterjedő hatékony védelme érdekében mind az érintettek jogait, mind a személyes adatok kezelőinek kötelezettségeit megerősíteni szükséges, valamint a tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatásköröket kell biztosítani.

| (8) | Az EUMSZ 16. cikkének (2) bekezdése felhatalmazza az Európai Parlamentet és a Tanácsot a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályok megállapítására. |
| --- | --- |

(8)

Az EUMSZ 16. cikkének (2) bekezdése felhatalmazza az Európai Parlamentet és a Tanácsot a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályok megállapítására.

| (9) | Ennek alapján az (EU) 2016/679 európai parlamenti és tanácsi rendelet (5) (általános adatvédelmi rendelet) általános szabályokat határoz meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme, valamint az ilyen adatok Unión belüli szabad áramlásának biztosítása céljából. |
| --- | --- |

(9)

Ennek alapján az (EU) 2016/679 európai parlamenti és tanácsi rendelet (5) (általános adatvédelmi rendelet) általános szabályokat határoz meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme, valamint az ilyen adatok Unión belüli szabad áramlásának biztosítása céljából.

| (10) | A Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, a büntetőügyekben folytatott igazságügyi, valamint a rendőrségi együttműködés területén a személyes adatok védelméről szóló 21. sz. nyilatkozatban a konferencia elismerte, hogy az EUMSZ 16. cikke alapján a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén – e területek sajátos természetéből adódóan – a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozóan különös szabályok válhatnak szükségessé. |
| --- | --- |

(10)

A Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, a büntetőügyekben folytatott igazságügyi, valamint a rendőrségi együttműködés területén a személyes adatok védelméről szóló 21. sz. nyilatkozatban a konferencia elismerte, hogy az EUMSZ 16. cikke alapján a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén – e területek sajátos természetéből adódóan – a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozóan különös szabályok válhatnak szükségessé.

| (11) | Ezért helyénvaló, hogy e területek szabályozása irányelvben történjen, amelyben meg kell határozni azokat a különleges szabályokat, amelyek a személyes adatok bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok általi kezelése tekintetében a természetes személyek védelmére vonatkoznak, tiszteletben tartva e tevékenységek jellegét. Az ilyen illetékes hatóságok körébe nemcsak olyan közhatalmi szervek tartozhatnak, mint az igazságügyi hatóságok, a rendőrség vagy egyéb bűnüldöző hatóságok, hanem bármely egyéb olyan szerv vagy jogalany is, amely a tagállami jog alapján ezen irányelv alkalmazása céljából közfeladatokat lát el és közhatalmi jogosítványokat gyakorol. Ha azonban ez a szerv vagy jogalany ezen irányelv céljaitól eltérő célból kezel személyes adatokat, akkor az (EU) 2016/679 rendeletet kell alkalmazni. A (EU) 2016/679 rendeletet kell éppen ezért az alkalmazni azokban az esetekben, amikor valamely szerv vagy jogalany egyéb célból gyűjt és kezel tovább személyes adatokat annak érdekében, hogy egy rá vonatkozó jogi kötelezettséget teljesítsen. Így például bűncselekmények nyomozása, felderítése és a vádeljárás lefolytatása céljából a pénzügyi intézmények bizonyos általuk kezelt személyes adatokat megőriznek, és azokat kizárólag meghatározott esetekben és a tagállami joggal összhangban az illetékes nemzeti hatóságok részére szolgáltatják. Azokat a szerveket vagy jogalanyokat, amelyek az említett hatóságok nevében ezen irányelv hatályán belül kezelnek személyes adatokat, szerződés vagy egyéb jogi aktus és az ezen irányelv alapján az adatfeldolgozókra alkalmazandó rendelkezések kötelezik, az adatfeldolgozó által ezen irányelv hatályán kívül végzett személyes adatok kezelése tekintetében azonban változatlanul az (EU) 2016/679 rendelet alkalmazandó. |
| --- | --- |

(11)

Ezért helyénvaló, hogy e területek szabályozása irányelvben történjen, amelyben meg kell határozni azokat a különleges szabályokat, amelyek a személyes adatok bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok általi kezelése tekintetében a természetes személyek védelmére vonatkoznak, tiszteletben tartva e tevékenységek jellegét. Az ilyen illetékes hatóságok körébe nemcsak olyan közhatalmi szervek tartozhatnak, mint az igazságügyi hatóságok, a rendőrség vagy egyéb bűnüldöző hatóságok, hanem bármely egyéb olyan szerv vagy jogalany is, amely a tagállami jog alapján ezen irányelv alkalmazása céljából közfeladatokat lát el és közhatalmi jogosítványokat gyakorol. Ha azonban ez a szerv vagy jogalany ezen irányelv céljaitól eltérő célból kezel személyes adatokat, akkor az (EU) 2016/679 rendeletet kell alkalmazni. A (EU) 2016/679 rendeletet kell éppen ezért az alkalmazni azokban az esetekben, amikor valamely szerv vagy jogalany egyéb célból gyűjt és kezel tovább személyes adatokat annak érdekében, hogy egy rá vonatkozó jogi kötelezettséget teljesítsen. Így például bűncselekmények nyomozása, felderítése és a vádeljárás lefolytatása céljából a pénzügyi intézmények bizonyos általuk kezelt személyes adatokat megőriznek, és azokat kizárólag meghatározott esetekben és a tagállami joggal összhangban az illetékes nemzeti hatóságok részére szolgáltatják. Azokat a szerveket vagy jogalanyokat, amelyek az említett hatóságok nevében ezen irányelv hatályán belül kezelnek személyes adatokat, szerződés vagy egyéb jogi aktus és az ezen irányelv alapján az adatfeldolgozókra alkalmazandó rendelkezések kötelezik, az adatfeldolgozó által ezen irányelv hatályán kívül végzett személyes adatok kezelése tekintetében azonban változatlanul az (EU) 2016/679 rendelet alkalmazandó.

| (12) | A rendőrség vagy egyéb bűnüldöző szervek által végzett tevékenységek középpontjában elsősorban a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása áll, ideértve az annak előzetes ismerete nélkül végzett rendőri tevékenységeket is, hogy egy adott eset bűncselekménynek minősül-e. Az ilyen tevékenységek magukban foglalhatják a hatósági jogkör kényszerintézkedések alkalmazásával történő gyakorlását is, így például a tüntetések, jelentős sportesemények és zavargások során végzett rendőrségi tevékenységet is. Ide tartozik továbbá a rendőrségre és egyéb bűnüldöző szervekre ruházott feladatként a közrend és közbiztonság fenntartása annak érdekében, hogy adott esetben védelmet biztosítsanak a közbiztonságot és a jog által védett alapvető társadalmi érdekeket fenyegető – esetleg bűncselekmény elkövetéséhez is vezető – veszélyekkel szemben, és megelőzzék e veszélyeket. A tagállamok megbízhatják az illetékes hatóságokat olyan egyéb feladatokkal is, amelyeknek ellátása nem feltétlenül a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából történik, és ebben az esetben az említett egyéb célokból történő, egyébiránt az uniós jog hatálya alá tartozó személyesadat-kezelés az (EU) 2016/679 rendelet hatálya alá tartozik. |
| --- | --- |

(12)

A rendőrség vagy egyéb bűnüldöző szervek által végzett tevékenységek középpontjában elsősorban a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása áll, ideértve az annak előzetes ismerete nélkül végzett rendőri tevékenységeket is, hogy egy adott eset bűncselekménynek minősül-e. Az ilyen tevékenységek magukban foglalhatják a hatósági jogkör kényszerintézkedések alkalmazásával történő gyakorlását is, így például a tüntetések, jelentős sportesemények és zavargások során végzett rendőrségi tevékenységet is. Ide tartozik továbbá a rendőrségre és egyéb bűnüldöző szervekre ruházott feladatként a közrend és közbiztonság fenntartása annak érdekében, hogy adott esetben védelmet biztosítsanak a közbiztonságot és a jog által védett alapvető társadalmi érdekeket fenyegető – esetleg bűncselekmény elkövetéséhez is vezető – veszélyekkel szemben, és megelőzzék e veszélyeket. A tagállamok megbízhatják az illetékes hatóságokat olyan egyéb feladatokkal is, amelyeknek ellátása nem feltétlenül a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából történik, és ebben az esetben az említett egyéb célokból történő, egyébiránt az uniós jog hatálya alá tartozó személyesadat-kezelés az (EU) 2016/679 rendelet hatálya alá tartozik.

| (13) | A bűncselekmény ezen irányelv értelmében vett fogalma az Európai Unió Bírósága (a továbbiakban: Bíróság) általi értelmezésnek megfelelő, önálló uniós jogi fogalomnak minősül. |
| --- | --- |

(13)

A bűncselekmény ezen irányelv értelmében vett fogalma az Európai Unió Bírósága (a továbbiakban: Bíróság) általi értelmezésnek megfelelő, önálló uniós jogi fogalomnak minősül.

| (14) | Mivel ez az irányelv nem alkalmazandó a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek keretében végzett kezelésére, a nemzetbiztonsággal kapcsolatos tevékenységek, a nemzetbiztonsági ügyekkel foglalkozó ügynökségek vagy egységek tevékenységei, valamint a tagállamok által az Európai Unióról szóló szerződés (EUSZ) V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzett személyesadat-kezelés nem tekinthető az ezen irányelv hatálya alá tartozó tevékenységnek. |
| --- | --- |

(14)

Mivel ez az irányelv nem alkalmazandó a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek keretében végzett kezelésére, a nemzetbiztonsággal kapcsolatos tevékenységek, a nemzetbiztonsági ügyekkel foglalkozó ügynökségek vagy egységek tevékenységei, valamint a tagállamok által az Európai Unióról szóló szerződés (EUSZ) V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzett személyesadat-kezelés nem tekinthető az ezen irányelv hatálya alá tartozó tevékenységnek.

| (15) | Annak érdekében, hogy a természetes személyek az Unió egész területén azonos szintű védelemben részesüljenek jogi úton érvényesíthető jogok révén, valamint azt megelőzendő, hogy az illetékes hatóságok között a személyes adatok cseréjét akadályozó eltérések kialakuljanak, ennek az irányelvnek harmonizált szabályokat kell meghatároznia a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából kezelt személyes adatok védelme és szabad áramlása tekintetében. A tagállamok jogszabályainak közelítése nem vezethet a személyes adatok általuk nyújtott védelmi szintjének csökkenéséhez, hanem ellenkezőleg, e jogközelítés révén az Unión belül magas védelmi szintet kell biztosítani. A tagállamok számára nem tiltható meg, hogy a személyes adatok illetékes hatóságok általi kezelése vonatkozásában az érintett jogainak és szabadságainak védelme érdekében az ezen irányelvben megállapítottnál magasabb szintű garanciákról rendelkezzenek. |
| --- | --- |

(15)

Annak érdekében, hogy a természetes személyek az Unió egész területén azonos szintű védelemben részesüljenek jogi úton érvényesíthető jogok révén, valamint azt megelőzendő, hogy az illetékes hatóságok között a személyes adatok cseréjét akadályozó eltérések kialakuljanak, ennek az irányelvnek harmonizált szabályokat kell meghatároznia a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából kezelt személyes adatok védelme és szabad áramlása tekintetében. A tagállamok jogszabályainak közelítése nem vezethet a személyes adatok általuk nyújtott védelmi szintjének csökkenéséhez, hanem ellenkezőleg, e jogközelítés révén az Unión belül magas védelmi szintet kell biztosítani. A tagállamok számára nem tiltható meg, hogy a személyes adatok illetékes hatóságok általi kezelése vonatkozásában az érintett jogainak és szabadságainak védelme érdekében az ezen irányelvben megállapítottnál magasabb szintű garanciákról rendelkezzenek.

| (16) | Ez az irányelv nem sértheti a hivatalos iratokhoz való nyilvános hozzáférés elvét. Az (EU) 2016/679 rendelet értelmében a közhatalmi szervek, illetve egyéb, közfeladatot ellátó vagy magánfél szervek az olyan hivatalos dokumentumokban szereplő személyes adatokat, amelyek közérdekű feladat teljesítése érdekében vannak birtokukban, az uniós joggal vagy az említett szervre vonatkozó tagállami joggal összhangban nyilvánosságra hozhatják annak érdekében, hogy a hivatalos dokumentumokhoz való nyilvános hozzáférést összeegyeztessék a személyes adatok védelméhez való joggal. |
| --- | --- |

(16)

Ez az irányelv nem sértheti a hivatalos iratokhoz való nyilvános hozzáférés elvét. Az (EU) 2016/679 rendelet értelmében a közhatalmi szervek, illetve egyéb, közfeladatot ellátó vagy magánfél szervek az olyan hivatalos dokumentumokban szereplő személyes adatokat, amelyek közérdekű feladat teljesítése érdekében vannak birtokukban, az uniós joggal vagy az említett szervre vonatkozó tagállami joggal összhangban nyilvánosságra hozhatják annak érdekében, hogy a hivatalos dokumentumokhoz való nyilvános hozzáférést összeegyeztessék a személyes adatok védelméhez való joggal.

| (17) | A természetes személyeket a személyes adataik kezelésével kapcsolatban ezen irányelv által nyújtott védelem állampolgárságuktól és lakóhelyüktől függetlenül megilleti. |
| --- | --- |

(17)

A természetes személyeket a személyes adataik kezelésével kapcsolatban ezen irányelv által nyújtott védelem állampolgárságuktól és lakóhelyüktől függetlenül megilleti.

| (18) | A komoly szabálykerülési kockázat veszélyének elkerülése érdekében, a természetes személyek védelmének technológiailag semlegesnek kell lennie, és nem függhet az alkalmazott technikai megoldásoktól. A természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a személyes adatok manuális kezelésére is vonatkozik, ha a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak ezen irányelv hatálya alá. |
| --- | --- |

(18)

A komoly szabálykerülési kockázat veszélyének elkerülése érdekében, a természetes személyek védelmének technológiailag semlegesnek kell lennie, és nem függhet az alkalmazott technikai megoldásoktól. A természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a személyes adatok manuális kezelésére is vonatkozik, ha a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak ezen irányelv hatálya alá.

| (19) | A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK európai parlamenti és tanácsi rendelet (6) vonatkozik. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi aktusokat hozzá kell igazítani az (EU) 2016/679 rendelettel megállapított alapelvekhez és szabályokhoz. |
| --- | --- |

(19)

A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK európai parlamenti és tanácsi rendelet (6) vonatkozik. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi aktusokat hozzá kell igazítani az (EU) 2016/679 rendelettel megállapított alapelvekhez és szabályokhoz.

| (20) | Ez az irányelv nem gátolja meg a tagállamokat abban, hogy a nemzeti büntetőeljárási szabályaikban pontosabban meghatározzák a bíróságok és egyéb igazságügyi hatóságok által végzett személyes adatok kezelésével kapcsolatos adatkezelési műveleteket és adatkezelési eljárásokat, különösen ami a bírósági határozatokban és jegyzőkönyvekben szereplő személyes adatokat illeti. |
| --- | --- |

(20)

Ez az irányelv nem gátolja meg a tagállamokat abban, hogy a nemzeti büntetőeljárási szabályaikban pontosabban meghatározzák a bíróságok és egyéb igazságügyi hatóságok által végzett személyes adatok kezelésével kapcsolatos adatkezelési műveleteket és adatkezelési eljárásokat, különösen ami a bírósági határozatokban és jegyzőkönyvekben szereplő személyes adatokat illeti.

| (21) | Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Egy természetes személy azonosíthatóságának megállapításakor minden olyan eszközt figyelembe kell venni – ideértve például a megjelölést –, amelyet az adatkezelő vagy más személy észszerűen feltételezhető módon alkalmaz a természetes személy közvetlen vagy közvetett azonosítására. Annak megállapításakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják alkalmazni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló tudomány és technológia állását. Az adatvédelem elvei ennek megfelelően nem alkalmazhatók az anonim információkra, vagyis az olyan információkra, amelyek nem azonosított vagy nem azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, hogy annak következtében az érintett többé nem azonosítható be. |
| --- | --- |

(21)

Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Egy természetes személy azonosíthatóságának megállapításakor minden olyan eszközt figyelembe kell venni – ideértve például a megjelölést –, amelyet az adatkezelő vagy más személy észszerűen feltételezhető módon alkalmaz a természetes személy közvetlen vagy közvetett azonosítására. Annak megállapításakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják alkalmazni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló tudomány és technológia állását. Az adatvédelem elvei ennek megfelelően nem alkalmazhatók az anonim információkra, vagyis az olyan információkra, amelyek nem azonosított vagy nem azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, hogy annak következtében az érintett többé nem azonosítható be.

| (22) | Azok a közhatalmi szervek, amelyekkel hivatalos feladataikkal kapcsolatos jogi kötelezettségeik keretében személyes adatokat közölnek, így például az adó- és vámhatóságok, a pénzügyi nyomozóegységek, a független közigazgatási hatóságok, valamint az értékpapírpiacok szabályozásáért és felügyeletéért felelős pénzügyi hatóságok, nem tekinthetők címzettnek, amikor olyan személyes adatokat kapnak, amelyek az uniós vagy a tagállami jog alapján egy konkrét közérdekű vizsgálat lefolytatásához szükségesek. A közhatalmi szervek nyilvánosságra hozatal iránti kérelmeit eseti alapon, minden esetben írásban, indokolással ellátva kell benyújtani, és azok nem vonatkozhatnak teljes nyilvántartási rendszerekre, illetve nem eredményezhetik nyilvántartási rendszerek összekapcsolását. A személyes adatok kezelése során e közhatalmi szerveknek be kell tartaniuk az adatkezelés céljának megfelelő, alkalmazandó adatvédelmi szabályokat. |
| --- | --- |

(22)

Azok a közhatalmi szervek, amelyekkel hivatalos feladataikkal kapcsolatos jogi kötelezettségeik keretében személyes adatokat közölnek, így például az adó- és vámhatóságok, a pénzügyi nyomozóegységek, a független közigazgatási hatóságok, valamint az értékpapírpiacok szabályozásáért és felügyeletéért felelős pénzügyi hatóságok, nem tekinthetők címzettnek, amikor olyan személyes adatokat kapnak, amelyek az uniós vagy a tagállami jog alapján egy konkrét közérdekű vizsgálat lefolytatásához szükségesek. A közhatalmi szervek nyilvánosságra hozatal iránti kérelmeit eseti alapon, minden esetben írásban, indokolással ellátva kell benyújtani, és azok nem vonatkozhatnak teljes nyilvántartási rendszerekre, illetve nem eredményezhetik nyilvántartási rendszerek összekapcsolását. A személyes adatok kezelése során e közhatalmi szerveknek be kell tartaniuk az adatkezelés céljának megfelelő, alkalmazandó adatvédelmi szabályokat.

| (23) | A genetikai adatot olyan, a természetes személy örökölt vagy szerzett genetikai jellemzőivel összefüggő személyes adatként célszerű meghatározni, amely az adott természetes személy fiziológiájára vagy egészségi állapotára vonatkozóan egyedi információt hordoz, és amely az adott természetes személy biológiai mintája elemzésének, így kromoszómaelemzésnek, illetve a dezoxiribonukleinsav (DNS) vagy a ribonukleinsav (RNS) vizsgálatának, vagy az ezekből kinyerhető információkkal egyenértékű információk kinyerését lehetővé tevő bármilyen más elem vizsgálatának az eredménye. A genetikai információk összetettségére és érzékenységére figyelemmel jelentős a kockázata annak, hogy az adatkezelő visszaél az ilyen információkkal, és különböző célokra újra felhasználja azokat. A genetikai jellemzők alapján történő bármilyen megkülönböztetés tilos. |
| --- | --- |

(23)

A genetikai adatot olyan, a természetes személy örökölt vagy szerzett genetikai jellemzőivel összefüggő személyes adatként célszerű meghatározni, amely az adott természetes személy fiziológiájára vagy egészségi állapotára vonatkozóan egyedi információt hordoz, és amely az adott természetes személy biológiai mintája elemzésének, így kromoszómaelemzésnek, illetve a dezoxiribonukleinsav (DNS) vagy a ribonukleinsav (RNS) vizsgálatának, vagy az ezekből kinyerhető információkkal egyenértékű információk kinyerését lehetővé tevő bármilyen más elem vizsgálatának az eredménye. A genetikai információk összetettségére és érzékenységére figyelemmel jelentős a kockázata annak, hogy az adatkezelő visszaél az ilyen információkkal, és különböző célokra újra felhasználja azokat. A genetikai jellemzők alapján történő bármilyen megkülönböztetés tilos.

| (24) | Az egészségügyi személyes adatok közé tartoznak az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotára. Ide értendőek a természetes személyre vonatkozó olyan személyes adatok, amelyeket a 2011/24/EU európai parlamenti és tanácsi irányelvben (7) említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel és ezen szolgáltatások nyújtása során gyűjtöttek; a természetes személy kizárólag egészségügyi célokból történő azonosítása érdekében a hozzá rendelt szám, jel vagy adat; a valamely testrész vagy a testet alkotó anyag – beleértve a genetikai adatokat és a biológiai mintákat is – teszteléséből vagy vizsgálatából származó információk; és bármilyen, például az érintett betegségével, fogyatékával, betegségkockázatával, kórtörténetével, kórházi kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt. |
| --- | --- |

(24)

Az egészségügyi személyes adatok közé tartoznak az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotára. Ide értendőek a természetes személyre vonatkozó olyan személyes adatok, amelyeket a 2011/24/EU európai parlamenti és tanácsi irányelvben (7) említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel és ezen szolgáltatások nyújtása során gyűjtöttek; a természetes személy kizárólag egészségügyi célokból történő azonosítása érdekében a hozzá rendelt szám, jel vagy adat; a valamely testrész vagy a testet alkotó anyag – beleértve a genetikai adatokat és a biológiai mintákat is – teszteléséből vagy vizsgálatából származó információk; és bármilyen, például az érintett betegségével, fogyatékával, betegségkockázatával, kórtörténetével, kórházi kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt.

| (25) | Valamennyi tagállam tagsággal rendelkezik a Nemzetközi Bűnügyi Rendőrség Szervezetben (Interpol). Az Interpol feladatának teljesítése céljából személyes adatokat kap, tárol és továbbít az illetékes hatóságoknak, hogy támogassa őket a nemzetközi bűnözés megelőzésében és a nemzetközi bűnözés ellen folytatott küzdelemben. Indokolt ezért megerősíteni az Unió és az Interpol közötti együttműködést a személyes adatok hatékony cseréjének előmozdításával, biztosítva ugyanakkor a személyes adatok automatikus kezelésével kapcsolatban az alapvető jogok és szabadságok tiszteletben tartását. Ezt az irányelvet – különös tekintettel ennek az irányelvnek a nemzetközi adattovábbításra vonatkozó rendelkezéseit – kell alkalmazni akkor, ha az Unióból személyes adatokat továbbítanak az Interpolnak vagy az Interpolban megbízott tagokkal rendelkező országoknak. Ez az irányelv nem érintheti a 2005/69/IB tanácsi közös álláspontban (8), valamint a 2007/533/IB tanácsi határozatban (9) meghatározott egyedi szabályokat. |
| --- | --- |

(25)

Valamennyi tagállam tagsággal rendelkezik a Nemzetközi Bűnügyi Rendőrség Szervezetben (Interpol). Az Interpol feladatának teljesítése céljából személyes adatokat kap, tárol és továbbít az illetékes hatóságoknak, hogy támogassa őket a nemzetközi bűnözés megelőzésében és a nemzetközi bűnözés ellen folytatott küzdelemben. Indokolt ezért megerősíteni az Unió és az Interpol közötti együttműködést a személyes adatok hatékony cseréjének előmozdításával, biztosítva ugyanakkor a személyes adatok automatikus kezelésével kapcsolatban az alapvető jogok és szabadságok tiszteletben tartását. Ezt az irányelvet – különös tekintettel ennek az irányelvnek a nemzetközi adattovábbításra vonatkozó rendelkezéseit – kell alkalmazni akkor, ha az Unióból személyes adatokat továbbítanak az Interpolnak vagy az Interpolban megbízott tagokkal rendelkező országoknak. Ez az irányelv nem érintheti a 2005/69/IB tanácsi közös álláspontban (8), valamint a 2007/533/IB tanácsi határozatban (9) meghatározott egyedi szabályokat.

| (26) | A személyes adatok kezelésének minden esetben jogszerűnek, tisztességesnek és átláthatónak kell lennie az említett természetes személyek vonatkozásában, és arra csak jogszabályban meghatározott konkrét célokból kerülhet sor. Ez önmagában nem akadályozza meg a bűnüldöző szerveket az olyan tevékenységek végzésében, mint például a fedett nyomozás vagy a videokamerás megfigyelés. Ilyen tevékenységek a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása, többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából végezhetők, ha jogszabályon alapulnak és – kellő tekintettel az említett természetes személyek jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősülnek. A tisztességes adatkezelés elve – mint adatvédelmi elv – a tisztességes eljáráshoz való jognak a Charta 47. cikkében és az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény (EJEE) 6. cikkében meghatározott fogalmától elkülönülő fogalom. A természetes személyt tájékoztatni kell a személyes adatai kezelésével járó kockázatokról, szabályokról, garanciákról és jogokról, valamint arról, hogy hogyan élhet az adatkezeléssel kapcsolatban őt megillető jogokkal. A személyes adatok kezelése konkrét céljainak már a személyes adatok gyűjtésének időpontjában kifejezettnek és jogszerűnek, továbbá meghatározottnak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasnak és relevánsnak kell lenniük. Biztosítani kell különösen azt, hogy a gyűjtött személyes adatok mennyisége ne legyen túlzott mértékű, és az adatokat csak az adatkezelés célja szempontjából szükséges ideig tárolják. Személyes adatokat abban az esetben lehet csak kezelni, ha az adatkezelés célját egyéb eszközzel nem lehetséges észszerű módon elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelőnek törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania. A tagállamok megfelelő garanciákat kell, hogy megállapítanak arra az esetre, ha a személyes adatokat közérdekű archiválás céljából, tudományos, statisztikai vagy történelmi felhasználás céljából tovább tárolják. |
| --- | --- |

(26)

A személyes adatok kezelésének minden esetben jogszerűnek, tisztességesnek és átláthatónak kell lennie az említett természetes személyek vonatkozásában, és arra csak jogszabályban meghatározott konkrét célokból kerülhet sor. Ez önmagában nem akadályozza meg a bűnüldöző szerveket az olyan tevékenységek végzésében, mint például a fedett nyomozás vagy a videokamerás megfigyelés. Ilyen tevékenységek a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása, többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából végezhetők, ha jogszabályon alapulnak és – kellő tekintettel az említett természetes személyek jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősülnek. A tisztességes adatkezelés elve – mint adatvédelmi elv – a tisztességes eljáráshoz való jognak a Charta 47. cikkében és az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény (EJEE) 6. cikkében meghatározott fogalmától elkülönülő fogalom. A természetes személyt tájékoztatni kell a személyes adatai kezelésével járó kockázatokról, szabályokról, garanciákról és jogokról, valamint arról, hogy hogyan élhet az adatkezeléssel kapcsolatban őt megillető jogokkal. A személyes adatok kezelése konkrét céljainak már a személyes adatok gyűjtésének időpontjában kifejezettnek és jogszerűnek, továbbá meghatározottnak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasnak és relevánsnak kell lenniük. Biztosítani kell különösen azt, hogy a gyűjtött személyes adatok mennyisége ne legyen túlzott mértékű, és az adatokat csak az adatkezelés célja szempontjából szükséges ideig tárolják. Személyes adatokat abban az esetben lehet csak kezelni, ha az adatkezelés célját egyéb eszközzel nem lehetséges észszerű módon elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelőnek törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania. A tagállamok megfelelő garanciákat kell, hogy megállapítanak arra az esetre, ha a személyes adatokat közérdekű archiválás céljából, tudományos, statisztikai vagy történelmi felhasználás céljából tovább tárolják.

| (27) | A bűncselekmények megelőzése, nyomozása és a vádeljárás lefolytatása érdekében szükséges, hogy az illetékes hatóságok azokat a személyes adatokat, amelyeket konkrét bűncselekmények megelőzésével, nyomozásával, felderítésével vagy üldözésével összefüggésben gyűjtöttek, ennél szélesebb összefüggésben is kezeljék annak érdekében, hogy megértsék a bűnözői tevékenységeket és a különböző felderített bűncselekmények közötti összefüggéseket feltárják. |
| --- | --- |

(27)

A bűncselekmények megelőzése, nyomozása és a vádeljárás lefolytatása érdekében szükséges, hogy az illetékes hatóságok azokat a személyes adatokat, amelyeket konkrét bűncselekmények megelőzésével, nyomozásával, felderítésével vagy üldözésével összefüggésben gyűjtöttek, ennél szélesebb összefüggésben is kezeljék annak érdekében, hogy megértsék a bűnözői tevékenységeket és a különböző felderített bűncselekmények közötti összefüggéseket feltárják.

| (28) | Az adatkezelés biztonságának fenntartása kapcsán és az ezen irányelvet sértő adatkezelés megelőzése érdekében a személyes adatokat oly módon kell kezelni, hogy biztosított legyen a megfelelő szintű biztonság és bizalmas kezelés – többek között megakadályozva a személyes adatokhoz és a kezelésükhöz használt eszközökhöz való jogosulatlan hozzáférést, valamint az említett adatok és eszközök jogosulatlan felhasználását –, amely figyelembe veszi a tudomány és technológia állását, azt, hogy a megvalósítási költségek hogyan viszonyulnak a kockázatokhoz, valamint a védelmet igénylő személyes adatok jellegét. |
| --- | --- |

(28)

Az adatkezelés biztonságának fenntartása kapcsán és az ezen irányelvet sértő adatkezelés megelőzése érdekében a személyes adatokat oly módon kell kezelni, hogy biztosított legyen a megfelelő szintű biztonság és bizalmas kezelés – többek között megakadályozva a személyes adatokhoz és a kezelésükhöz használt eszközökhöz való jogosulatlan hozzáférést, valamint az említett adatok és eszközök jogosulatlan felhasználását –, amely figyelembe veszi a tudomány és technológia állását, azt, hogy a megvalósítási költségek hogyan viszonyulnak a kockázatokhoz, valamint a védelmet igénylő személyes adatok jellegét.

| (29) | A személyes adatokat az ezen irányelv hatálya alá tartozó, meghatározott, egyértelmű és jogszerű célokból lehet gyűjteni, és azokat a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljával össze nem egyeztethető módon kezelni nem lehet. Ha a személyes adatok kezelését azonos vagy más adatkezelő az ezen irányelv hatálya alá tartozó olyan célból végzi, amely eltér attól a céltól, amelyre az adatgyűjtés eredetileg irányult, az ilyen adatkezelést azzal a feltétellel lehetővé kell tenni, hogy az ilyen adatkezelésre a vonatkozó jogi rendelkezések megfelelő felhatalmazást adnak, továbbá az adatkezelés az említett eltérő cél szempontjából szükséges és arányos. |
| --- | --- |

(29)

A személyes adatokat az ezen irányelv hatálya alá tartozó, meghatározott, egyértelmű és jogszerű célokból lehet gyűjteni, és azokat a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljával össze nem egyeztethető módon kezelni nem lehet. Ha a személyes adatok kezelését azonos vagy más adatkezelő az ezen irányelv hatálya alá tartozó olyan célból végzi, amely eltér attól a céltól, amelyre az adatgyűjtés eredetileg irányult, az ilyen adatkezelést azzal a feltétellel lehetővé kell tenni, hogy az ilyen adatkezelésre a vonatkozó jogi rendelkezések megfelelő felhatalmazást adnak, továbbá az adatkezelés az említett eltérő cél szempontjából szükséges és arányos.

| (30) | Az adott adatkezelés jellegére és céljára tekintettel kell az adatok pontosságának elvét alkalmazni. Különösen a bírósági eljárásokban a személyes adatokat tartalmazó nyilatkozatok a természetes személy szubjektív megítélésén alapulnak, amelyek nem mindig visszaellenőrizhetők. A pontosság követelménye következésképpen nem a nyilatkozat pontosságára, hanem pusztán arra a tényre vonatkozik, hogy egy adott nyilatkozat megtételére sor került. |
| --- | --- |

(30)

Az adott adatkezelés jellegére és céljára tekintettel kell az adatok pontosságának elvét alkalmazni. Különösen a bírósági eljárásokban a személyes adatokat tartalmazó nyilatkozatok a természetes személy szubjektív megítélésén alapulnak, amelyek nem mindig visszaellenőrizhetők. A pontosság követelménye következésképpen nem a nyilatkozat pontosságára, hanem pusztán arra a tényre vonatkozik, hogy egy adott nyilatkozat megtételére sor került.

| (31) | A személyes adatoknak a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés területén történő kezelésével együtt jár, hogy az érintettek különböző kategóriáira vonatkozó személyes adatok kezelésére kerül sor. Ezért – amennyire lehetséges és kivitelezhető – egyértelműen különbséget kell tenni az érintettek különböző kategóriáihoz tartozó személyes adatok között, így a bűncselekmények elkövetésével gyanúsított vagy amiatt elítélt személyekre, az áldozatokra, illetve egyéb érintett felekre, például tanúkra, fontos információk birtokosaira vagy a gyanúsítottak és az elítélt bűnelkövetők kapcsolataira és bűntársaira vonatkozó személyes adatok között. Ez nem akadályozhatja az ártatlanság vélelméhez való jognak a Chartában és az EEJE-ben garantált módon történő alkalmazását, a Bíróság ítélkezési gyakorlata, illetve az Emberi Jogok Európai Bírósága szerinti értelmezéssel összhangban. |
| --- | --- |

(31)

A személyes adatoknak a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés területén történő kezelésével együtt jár, hogy az érintettek különböző kategóriáira vonatkozó személyes adatok kezelésére kerül sor. Ezért – amennyire lehetséges és kivitelezhető – egyértelműen különbséget kell tenni az érintettek különböző kategóriáihoz tartozó személyes adatok között, így a bűncselekmények elkövetésével gyanúsított vagy amiatt elítélt személyekre, az áldozatokra, illetve egyéb érintett felekre, például tanúkra, fontos információk birtokosaira vagy a gyanúsítottak és az elítélt bűnelkövetők kapcsolataira és bűntársaira vonatkozó személyes adatok között. Ez nem akadályozhatja az ártatlanság vélelméhez való jognak a Chartában és az EEJE-ben garantált módon történő alkalmazását, a Bíróság ítélkezési gyakorlata, illetve az Emberi Jogok Európai Bírósága szerinti értelmezéssel összhangban.

| (32) | Az illetékes hatóságoknak biztosítaniuk kell, hogy pontatlan, hiányos vagy már nem naprakész személyes adatok ne legyenek továbbíthatók vagy hozzáférhetővé tehetők. Annak érdekében, hogy biztosítsák a természetes személyek védelmét, a továbbított vagy hozzáférhetővé tett személyes adatok pontosságát, teljességét, illetve naprakész jellegét és megbízhatóságát, az illetékes hatóságoknak a személyes adatok továbbításakor a szükséges kiegészítő információkat is meg kell küldeniük. |
| --- | --- |

(32)

Az illetékes hatóságoknak biztosítaniuk kell, hogy pontatlan, hiányos vagy már nem naprakész személyes adatok ne legyenek továbbíthatók vagy hozzáférhetővé tehetők. Annak érdekében, hogy biztosítsák a természetes személyek védelmét, a továbbított vagy hozzáférhetővé tett személyes adatok pontosságát, teljességét, illetve naprakész jellegét és megbízhatóságát, az illetékes hatóságoknak a személyes adatok továbbításakor a szükséges kiegészítő információkat is meg kell küldeniük.

| (33) | Ha ez az irányelv tagállami jogra, jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogalkotási eszközt. Mindazonáltal a tagállami jognak, jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazása szempontjából pedig kiszámíthatónak kell lennie az érintettek számára, amint azt a Bíróságnak és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlata megköveteli. A személyes adatok ezen irányelv hatálya alá tartozó kezelését szabályozó tagállami jogban rendelkezni kell legalább a célokról, a kezelendő személyes adatokról, az adatkezelés céljairól, a személyes adatok integritásának és bizalmas jellegének megóvásáról, valamint a személyes adatok megsemmisítésére irányuló eljárásokról, így biztosítva a megfelelő garanciákat az adatokkal való visszaélésnek és az adatok önkényes felhasználásának a kockázata ellen. |
| --- | --- |

(33)

Ha ez az irányelv tagállami jogra, jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogalkotási eszközt. Mindazonáltal a tagállami jognak, jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazása szempontjából pedig kiszámíthatónak kell lennie az érintettek számára, amint azt a Bíróságnak és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlata megköveteli. A személyes adatok ezen irányelv hatálya alá tartozó kezelését szabályozó tagállami jogban rendelkezni kell legalább a célokról, a kezelendő személyes adatokról, az adatkezelés céljairól, a személyes adatok integritásának és bizalmas jellegének megóvásáról, valamint a személyes adatok megsemmisítésére irányuló eljárásokról, így biztosítva a megfelelő garanciákat az adatokkal való visszaélésnek és az adatok önkényes felhasználásának a kockázata ellen.

| (34) | A bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok által végzett személyesadat-kezelés fogalommeghatározása magában foglalja a személyes adatokon vagy adatállományokon automatizált vagy más módon az említett célokból végzett bármely műveletet vagy műveletek összességét, például a gyűjtést, a rögzítést, a rendszerezést, a tagolást, a tárolást, az átalakítást vagy megváltoztatást, a lekérdezést, a betekintést, a felhasználást, az összehangolást vagy összekapcsolást, az adatkezelés korlátozását, a törlést, illetve megsemmisítést. Így különösen ennek az irányelvnek a szabályai alkalmazandók abban az esetben, ha a személyes adatokat ezen irányelv alkalmazásában olyan címzettnek továbbítják, aki vagy amely nem tartozik ennek az irányelvnek a hatálya alá. Az ilyen címzett fogalma magában foglalja azt a természetes vagy jogi személyt, közhatalmi szervet, ügynökséget vagy bármely más szervet, akivel vagy amellyel az illetékes hatóság a személyes adatokat jogszerűen közli. Ha a személyes adatokat eredetileg valamely illetékes hatóság gyűjtötte az ezen irányelvben foglalt valamelyik cél érdekében, az (EU) 2016/679 rendeletet kell alkalmazni az említett adatoknak az ezen irányelvben foglalt céloktól eltérő célból történő kezelésére, feltéve, hogy az említett adatkezelésre uniós vagy tagállami jog felhatalmazást ad. Kiváltképpen az (EU) 2016/679 rendeletbe foglalt szabályok alkalmazandók abban az esetben, ha a személyes adatokat az ezen irányelv hatálya alá nem tartozó célokból továbbítják. A személyes adatok olyan címzett által végzett kezelésére, aki vagy amely nem minősül illetékes hatóságnak, illetve nem az ezen irányelv értelmében vett ilyen hatóságként jár el, és akivel vagy amellyel egy illetékes hatóság jogszerűen személyes adatokat közöl, az (EU) 2016/679 rendelet alkalmazandó. Ezenkívül az (EU) 2016/679 rendeletben megállapított feltételek mellett a tagállamok ezen irányelv végrehajtásakor tovább pontosíthatják a rendeletben foglalt szabályok alkalmazását. |
| --- | --- |

(34)

A bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok által végzett személyesadat-kezelés fogalommeghatározása magában foglalja a személyes adatokon vagy adatállományokon automatizált vagy más módon az említett célokból végzett bármely műveletet vagy műveletek összességét, például a gyűjtést, a rögzítést, a rendszerezést, a tagolást, a tárolást, az átalakítást vagy megváltoztatást, a lekérdezést, a betekintést, a felhasználást, az összehangolást vagy összekapcsolást, az adatkezelés korlátozását, a törlést, illetve megsemmisítést. Így különösen ennek az irányelvnek a szabályai alkalmazandók abban az esetben, ha a személyes adatokat ezen irányelv alkalmazásában olyan címzettnek továbbítják, aki vagy amely nem tartozik ennek az irányelvnek a hatálya alá. Az ilyen címzett fogalma magában foglalja azt a természetes vagy jogi személyt, közhatalmi szervet, ügynökséget vagy bármely más szervet, akivel vagy amellyel az illetékes hatóság a személyes adatokat jogszerűen közli. Ha a személyes adatokat eredetileg valamely illetékes hatóság gyűjtötte az ezen irányelvben foglalt valamelyik cél érdekében, az (EU) 2016/679 rendeletet kell alkalmazni az említett adatoknak az ezen irányelvben foglalt céloktól eltérő célból történő kezelésére, feltéve, hogy az említett adatkezelésre uniós vagy tagállami jog felhatalmazást ad. Kiváltképpen az (EU) 2016/679 rendeletbe foglalt szabályok alkalmazandók abban az esetben, ha a személyes adatokat az ezen irányelv hatálya alá nem tartozó célokból továbbítják. A személyes adatok olyan címzett által végzett kezelésére, aki vagy amely nem minősül illetékes hatóságnak, illetve nem az ezen irányelv értelmében vett ilyen hatóságként jár el, és akivel vagy amellyel egy illetékes hatóság jogszerűen személyes adatokat közöl, az (EU) 2016/679 rendelet alkalmazandó. Ezenkívül az (EU) 2016/679 rendeletben megállapított feltételek mellett a tagállamok ezen irányelv végrehajtásakor tovább pontosíthatják a rendeletben foglalt szabályok alkalmazását.

| (35) | Ahhoz, hogy jogszerű legyen, az ezen irányelv szerinti személyesadat-kezelésnek olyan feladat ellátásához kell szükségesnek lennie, amelyet valamely illetékes hatóság közérdekből, uniós vagy tagállami jog alapján a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végez, ideértve az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges adatkezelést is. Mivel a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása feladatának ellátását a jog intézményesen ruházza az illetékes hatóságokra, azok elrendelhetik vagy megkövetelhetik a természetes személyektől kérésük teljesítését. Ilyen esetben az érintettnek az (EU) 2016/679 rendeletben meghatározott értelemben vett hozzájárulása nem szolgálhat jogalapul a személyes adatok illetékes hatóságok általi kezeléséhez. Ha az érintett jogi kötelezettséget teljesít, nincs valós és szabad választási lehetősége, ezért az érintett reakciója nem tekinthető akarata szabad kinyilvánításának. Ez nem akadályozhatja meg a tagállamokat abban, hogy jogszabályban elő írják azt, hogy az érintett hozzájárulhat a személyes adatainak ezen irányelv alkalmazásában történő kezeléséhez, például bűnügyi nyomozások keretében végzett DNS-vizsgálat lefolytatásához vagy büntetőjogi szankciók végrehajtásakor az érintett feltalálásának elektronikus azonosító igénybevételével történő figyelemmel kíséréséhez. |
| --- | --- |

(35)

Ahhoz, hogy jogszerű legyen, az ezen irányelv szerinti személyesadat-kezelésnek olyan feladat ellátásához kell szükségesnek lennie, amelyet valamely illetékes hatóság közérdekből, uniós vagy tagállami jog alapján a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végez, ideértve az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges adatkezelést is. Mivel a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása feladatának ellátását a jog intézményesen ruházza az illetékes hatóságokra, azok elrendelhetik vagy megkövetelhetik a természetes személyektől kérésük teljesítését. Ilyen esetben az érintettnek az (EU) 2016/679 rendeletben meghatározott értelemben vett hozzájárulása nem szolgálhat jogalapul a személyes adatok illetékes hatóságok általi kezeléséhez. Ha az érintett jogi kötelezettséget teljesít, nincs valós és szabad választási lehetősége, ezért az érintett reakciója nem tekinthető akarata szabad kinyilvánításának. Ez nem akadályozhatja meg a tagállamokat abban, hogy jogszabályban elő írják azt, hogy az érintett hozzájárulhat a személyes adatainak ezen irányelv alkalmazásában történő kezeléséhez, például bűnügyi nyomozások keretében végzett DNS-vizsgálat lefolytatásához vagy büntetőjogi szankciók végrehajtásakor az érintett feltalálásának elektronikus azonosító igénybevételével történő figyelemmel kíséréséhez.

| (36) | A tagállamoknak rendelkezniük kell arról, hogy ha a továbbító illetékes hatóságra alkalmazandó uniós vagy tagállami jog a személyes adatok kezelésére vonatkozóan meghatározott körülmények között különös feltételeket ír elő, úgymint adatkezelési kódok használatát, akkor a továbbító illetékes hatóság tájékoztassa a címzettet az ilyen személyes adatokról, az említett feltételekről és a betartásukra vonatkozó követelményről. Az ilyen feltételek között szerepelhet például a személyes adatok más részére történő továbbításának a tilalma, vagy annak tilalma, hogy címzettnek továbbított személyes adatot a továbbításkor fennálló céltól eltérő célra használják fel, illetve annak tilalma, hogy az érintettet ne tájékoztassák a tájékoztatáshoz való jog korlátozása esetén, a továbbító illetékes hatóság előzetes jóváhagyása nélkül. E kötelezettségeket a továbbító illetékes hatóság által harmadik országbeli címzettek vagy nemzetközi szervezetek részére történő adattovábbítások esetében is alkalmazni kell. A tagállamok előírják, hogy az átadó hatóság az említett feltételeket a más tagállambeli címzettekre ne alkalmazza, illetve az EUMSZ V. címének 4. és 5. fejezete szerint létrehozott ügynökségekre, hivatalokra és szervekre, kivéve azokat a feltételeket, amelyek a továbbító illetékes hatóság szerinti tagállamban a hasonló adattovábbítások esetében alkalmazni kell. |
| --- | --- |

(36)

A tagállamoknak rendelkezniük kell arról, hogy ha a továbbító illetékes hatóságra alkalmazandó uniós vagy tagállami jog a személyes adatok kezelésére vonatkozóan meghatározott körülmények között különös feltételeket ír elő, úgymint adatkezelési kódok használatát, akkor a továbbító illetékes hatóság tájékoztassa a címzettet az ilyen személyes adatokról, az említett feltételekről és a betartásukra vonatkozó követelményről. Az ilyen feltételek között szerepelhet például a személyes adatok más részére történő továbbításának a tilalma, vagy annak tilalma, hogy címzettnek továbbított személyes adatot a továbbításkor fennálló céltól eltérő célra használják fel, illetve annak tilalma, hogy az érintettet ne tájékoztassák a tájékoztatáshoz való jog korlátozása esetén, a továbbító illetékes hatóság előzetes jóváhagyása nélkül. E kötelezettségeket a továbbító illetékes hatóság által harmadik országbeli címzettek vagy nemzetközi szervezetek részére történő adattovábbítások esetében is alkalmazni kell. A tagállamok előírják, hogy az átadó hatóság az említett feltételeket a más tagállambeli címzettekre ne alkalmazza, illetve az EUMSZ V. címének 4. és 5. fejezete szerint létrehozott ügynökségekre, hivatalokra és szervekre, kivéve azokat a feltételeket, amelyek a továbbító illetékes hatóság szerinti tagállamban a hasonló adattovábbítások esetében alkalmazni kell.

| (37) | Azok a személyes adatok természetüknél fogva különösen érzékenyek az alapvető jogok és szabadságok szempontjából, különös védelmet érdemelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. Ilyen személyes adatnak minősül a faji vagy etnikai származásra utaló személyes adat; e tekintetben megjegyzendő, hogy a „faji származás” kifejezés ezen irányelv keretében történő alkalmazása nem értelmezhető úgy, hogy az Unió elfogadja a különböző emberi fajok létezésének megállapítására törekvő elméleteket. Az ilyen személyes adatok nem kezelhetők, kivéve, ha az adatkezelésre az érintettek jogaira és szabadságaira vonatkozó, jogszabályban előírt megfelelő garanciák alkalmazandók és az adatkezelés jogszabályban meghatározott esetekben megengedett; vagy ha ezt jogszabály még nem teszi lehetővé, akkor az adatkezelés az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges; vagy ha az adatkezelés olyan adatra vonatkozik, amelyet az érintett kifejezetten nyilvánosságra hozott. Az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák magukban foglalhatják azt, hogy a kérdéses adatokat kizárólag az említett természetes személyre vonatkozó egyéb adatokhoz kapcsolódóan gyűjthessék, hogy a gyűjtött adatok megfelelő biztosításának lehetősége, hogy az adatokhoz való, az illetékes hatóság személyzete általi hozzáférésre vonatkozóan szigorúbb szabályokat állapítsanak meg, illetve hogy megtiltsák az ilyen adatok továbbítását. Ezeknek az adatoknak a kezelését jogszabály lehetővé teheti abban az esetben is, ha az érintett egyértelműen beleegyezett az olyan adatkezelésbe, amely az számára különösen tolakodó jellegű. Az érintett hozzájárulása azonban önmagában nem szolgálhat jogalapul az ilyen különleges személyes adatok illetékes hatóságok általi kezeléséhez. |
| --- | --- |

(37)

Azok a személyes adatok természetüknél fogva különösen érzékenyek az alapvető jogok és szabadságok szempontjából, különös védelmet érdemelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. Ilyen személyes adatnak minősül a faji vagy etnikai származásra utaló személyes adat; e tekintetben megjegyzendő, hogy a „faji származás” kifejezés ezen irányelv keretében történő alkalmazása nem értelmezhető úgy, hogy az Unió elfogadja a különböző emberi fajok létezésének megállapítására törekvő elméleteket. Az ilyen személyes adatok nem kezelhetők, kivéve, ha az adatkezelésre az érintettek jogaira és szabadságaira vonatkozó, jogszabályban előírt megfelelő garanciák alkalmazandók és az adatkezelés jogszabályban meghatározott esetekben megengedett; vagy ha ezt jogszabály még nem teszi lehetővé, akkor az adatkezelés az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges; vagy ha az adatkezelés olyan adatra vonatkozik, amelyet az érintett kifejezetten nyilvánosságra hozott. Az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák magukban foglalhatják azt, hogy a kérdéses adatokat kizárólag az említett természetes személyre vonatkozó egyéb adatokhoz kapcsolódóan gyűjthessék, hogy a gyűjtött adatok megfelelő biztosításának lehetősége, hogy az adatokhoz való, az illetékes hatóság személyzete általi hozzáférésre vonatkozóan szigorúbb szabályokat állapítsanak meg, illetve hogy megtiltsák az ilyen adatok továbbítását. Ezeknek az adatoknak a kezelését jogszabály lehetővé teheti abban az esetben is, ha az érintett egyértelműen beleegyezett az olyan adatkezelésbe, amely az számára különösen tolakodó jellegű. Az érintett hozzájárulása azonban önmagában nem szolgálhat jogalapul az ilyen különleges személyes adatok illetékes hatóságok általi kezeléséhez.

| (38) | Az érintett számára biztosítani kell a jogot arra, hogy ne terjedhessen ki rá olyan, kizárólag automatizált adatkezelésen alapuló döntés hatálya, amelynek célja a rá vonatkozó egyes személyes jellemzők értékelése, és amely rá nézve hátrányos joghatással járna vagy őt jelentős mértékben érintené. Ilyen adatkezelésre minden esetben csakis megfelelő garanciák mellett kerülhet sor, ideértve az érintett külön tájékoztatás biztosítását és az ahhoz való jogát, hogy emberi beavatkozást kérjen és kapjon, különösen hogy kifejtse álláspontját, ahhoz való jogát, hogy magyarázatot kapjon az effajta értékelés alapján hozott döntésről, és hogy megtámadja a döntést. A természetes személyekre vonatkozó olyan profilalkotás, amely az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok alapján történő megkülönböztetést eredményeznek, a Charta 21. és 52. cikkében meghatározott feltételek szerint tilos. |
| --- | --- |

(38)

Az érintett számára biztosítani kell a jogot arra, hogy ne terjedhessen ki rá olyan, kizárólag automatizált adatkezelésen alapuló döntés hatálya, amelynek célja a rá vonatkozó egyes személyes jellemzők értékelése, és amely rá nézve hátrányos joghatással járna vagy őt jelentős mértékben érintené. Ilyen adatkezelésre minden esetben csakis megfelelő garanciák mellett kerülhet sor, ideértve az érintett külön tájékoztatás biztosítását és az ahhoz való jogát, hogy emberi beavatkozást kérjen és kapjon, különösen hogy kifejtse álláspontját, ahhoz való jogát, hogy magyarázatot kapjon az effajta értékelés alapján hozott döntésről, és hogy megtámadja a döntést. A természetes személyekre vonatkozó olyan profilalkotás, amely az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok alapján történő megkülönböztetést eredményeznek, a Charta 21. és 52. cikkében meghatározott feltételek szerint tilos.

| (39) | Annak érdekében, hogy az érintett gyakorolhassa jogait, az érintettnek nyújtott tájékoztatásnak – az adatkezelő honlapján is – könnyen hozzáférhetőnek és könnyen érthetőnek kell lennie, ideértve azt is, hogy azt világos és közérthető nyelven fogalmazzák meg. Az ilyen tájékoztatást hozzá kell igazítani a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek szükségleteihez. |
| --- | --- |

(39)

Annak érdekében, hogy az érintett gyakorolhassa jogait, az érintettnek nyújtott tájékoztatásnak – az adatkezelő honlapján is – könnyen hozzáférhetőnek és könnyen érthetőnek kell lennie, ideértve azt is, hogy azt világos és közérthető nyelven fogalmazzák meg. Az ilyen tájékoztatást hozzá kell igazítani a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek szükségleteihez.

| (40) | Az érintettek jogainak gyakorlását elősegítő módokat kell biztosítani az ezen irányelv alapján elfogadott rendelkezések szerint, beleértve különösen a személyes adatokhoz való hozzáférés, valamint azok helyesbítésének, törlésének és az adatkezelés korlátozásának térítésmentes kérelmezésére és adott esetben megszerzésére szolgáló mechanizmusokat. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül adjon választ, kivéve, ha az adatkezelő ezzel az irányelvvel összhangban az érintett jogainak korlátozását alkalmazza. Továbbá, ha a kérelmek egyértelműen megalapozatlanok vagy túlzóak, azaz ha például az érintett indokolatlanul és ismétlődően fordul tájékoztatásért, vagy ha az érintett visszaél a tájékoztatáshoz való jogával és például hamis vagy félrevezető információkat terjeszt elő a kérelmében, az adatkezelő észszerű díjat számíthat fel vagy megtagadhatja a kérelem alapján történő intézkedést. |
| --- | --- |

(40)

Az érintettek jogainak gyakorlását elősegítő módokat kell biztosítani az ezen irányelv alapján elfogadott rendelkezések szerint, beleértve különösen a személyes adatokhoz való hozzáférés, valamint azok helyesbítésének, törlésének és az adatkezelés korlátozásának térítésmentes kérelmezésére és adott esetben megszerzésére szolgáló mechanizmusokat. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül adjon választ, kivéve, ha az adatkezelő ezzel az irányelvvel összhangban az érintett jogainak korlátozását alkalmazza. Továbbá, ha a kérelmek egyértelműen megalapozatlanok vagy túlzóak, azaz ha például az érintett indokolatlanul és ismétlődően fordul tájékoztatásért, vagy ha az érintett visszaél a tájékoztatáshoz való jogával és például hamis vagy félrevezető információkat terjeszt elő a kérelmében, az adatkezelő észszerű díjat számíthat fel vagy megtagadhatja a kérelem alapján történő intézkedést.

| (41) | Ha az adatkezelő az érintett személyazonosságának megerősítéséhez szükséges kiegészítő információk közlését kéri, a megadott információk kizárólag ebből a konkrét célból kezelhetők, és az e célhoz szükségesnél hosszabb ideig nem tárolhatók. |
| --- | --- |

(41)

Ha az adatkezelő az érintett személyazonosságának megerősítéséhez szükséges kiegészítő információk közlését kéri, a megadott információk kizárólag ebből a konkrét célból kezelhetők, és az e célhoz szükségesnél hosszabb ideig nem tárolhatók.

| (42) | Az érintett rendelkezésére kell bocsátani legalább a következő információkat: az adatkezelő kilétét, az adatkezelési művelet tényét, az adatkezelés céljait, tájékoztatást a panasz benyújtásának jogáról, valamint az ahhoz való jogról, hogy az érintett az adatokhoz való hozzáférést, az adatok helyesbítését, törlését, illetve az adatkezelés korlátozását kérje az adatkezelőtől. Ezeket az információkat az illetékes hatóság honlapján is közzé lehet tenni. Továbbá, egyedi esetekben és annak érdekében, hogy az érintett gyakorolni tudja a jogait, az érintettet tájékoztatni kell az adatkezelés jogalapjáról és arról, hogy mennyi ideig fogják az adatokat tárolni, ha az adatkezelés konkrét körülményeit figyelembe véve ezekre a kiegészítő információkra szükség van az érintett vonatkozásában a tisztességes adatkezelés garantálásához. |
| --- | --- |

(42)

Az érintett rendelkezésére kell bocsátani legalább a következő információkat: az adatkezelő kilétét, az adatkezelési művelet tényét, az adatkezelés céljait, tájékoztatást a panasz benyújtásának jogáról, valamint az ahhoz való jogról, hogy az érintett az adatokhoz való hozzáférést, az adatok helyesbítését, törlését, illetve az adatkezelés korlátozását kérje az adatkezelőtől. Ezeket az információkat az illetékes hatóság honlapján is közzé lehet tenni. Továbbá, egyedi esetekben és annak érdekében, hogy az érintett gyakorolni tudja a jogait, az érintettet tájékoztatni kell az adatkezelés jogalapjáról és arról, hogy mennyi ideig fogják az adatokat tárolni, ha az adatkezelés konkrét körülményeit figyelembe véve ezekre a kiegészítő információkra szükség van az érintett vonatkozásában a tisztességes adatkezelés garantálásához.

| (43) | Minden természetes személy jogosult arra, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint ahhoz, hogy e joggal egyszerűen és észszerű időközönként élhessen az adatkezelés jogszerűségének megállapítása és ellenőrzése céljából. Ezért minden érintett jogosult arra, hogy megismerje és tájékoztatást kapjon arról, hogy az adatokat milyen célokból kezelték, az adatok kezelésének időtartamáról, valamint az adatok címzettjeiről, ideértve a harmadik országbeli címzetteket is. Ha az ilyen tájékoztatások a személyes adatok eredetére vonatkozó információkat tartalmaznak, az említett információk nem fedhetik fel természetes személyek személyazonosságát, különösen abban az esetben, ha bizalmas forrásokról van szó. Az említett jog érvényesüléséhez elegendő, ha a kezelt adatok teljes körű összefoglalását érthető módon az érintett rendelkezésére bocsátják, azaz oly módon, amely lehetővé teszi az érintett számára az adatok megismerését és pontosságuk ellenőrzését, valamint meggyőződhet arról, hogy az adatok kezelése ennek az irányelvnek megfelelően történik, így az érintett számára lehetséges, hogy ezen irányelv szerinti jogait gyakorolja. Az összefoglalás az adatkezelés alatt álló személyes adatok másolataként is rendelkezésre bocsátható. |
| --- | --- |

(43)

Minden természetes személy jogosult arra, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint ahhoz, hogy e joggal egyszerűen és észszerű időközönként élhessen az adatkezelés jogszerűségének megállapítása és ellenőrzése céljából. Ezért minden érintett jogosult arra, hogy megismerje és tájékoztatást kapjon arról, hogy az adatokat milyen célokból kezelték, az adatok kezelésének időtartamáról, valamint az adatok címzettjeiről, ideértve a harmadik országbeli címzetteket is. Ha az ilyen tájékoztatások a személyes adatok eredetére vonatkozó információkat tartalmaznak, az említett információk nem fedhetik fel természetes személyek személyazonosságát, különösen abban az esetben, ha bizalmas forrásokról van szó. Az említett jog érvényesüléséhez elegendő, ha a kezelt adatok teljes körű összefoglalását érthető módon az érintett rendelkezésére bocsátják, azaz oly módon, amely lehetővé teszi az érintett számára az adatok megismerését és pontosságuk ellenőrzését, valamint meggyőződhet arról, hogy az adatok kezelése ennek az irányelvnek megfelelően történik, így az érintett számára lehetséges, hogy ezen irányelv szerinti jogait gyakorolja. Az összefoglalás az adatkezelés alatt álló személyes adatok másolataként is rendelkezésre bocsátható.

| (44) | A tagállamok számára lehetővé kell tenni, hogy jogalkotási intézkedéseket fogadjanak el az érintettek tájékoztatásának késleltetésére, korlátozására vagy mellőzésére, illetve a személyes adataikhoz való hozzáférésük teljes vagy részleges korlátozására vonatkozóan, amennyiben, illetve mindaddig, amíg az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükségesnek és arányosnak minősül a következők érdekében: ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása veszélybe kerüljön; a közbiztonság vagy nemzetbiztonság védelme; valamint mások jogainak és szabadságainak védelme. Az adatkezelőnek minden egyes eset konkrét és egyedi vizsgálatakor fel kell mérnie, hogy a hozzáférési jog részleges vagy teljes korlátozása szükséges-e. |
| --- | --- |

(44)

A tagállamok számára lehetővé kell tenni, hogy jogalkotási intézkedéseket fogadjanak el az érintettek tájékoztatásának késleltetésére, korlátozására vagy mellőzésére, illetve a személyes adataikhoz való hozzáférésük teljes vagy részleges korlátozására vonatkozóan, amennyiben, illetve mindaddig, amíg az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükségesnek és arányosnak minősül a következők érdekében: ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása veszélybe kerüljön; a közbiztonság vagy nemzetbiztonság védelme; valamint mások jogainak és szabadságainak védelme. Az adatkezelőnek minden egyes eset konkrét és egyedi vizsgálatakor fel kell mérnie, hogy a hozzáférési jog részleges vagy teljes korlátozása szükséges-e.

| (45) | Alapértelmezés szerint a hozzáférés megtagadását vagy korlátozását írásban közölni kell az érintettel a döntés ténybeli és jogi indokaival együtt. |
| --- | --- |

(45)

Alapértelmezés szerint a hozzáférés megtagadását vagy korlátozását írásban közölni kell az érintettel a döntés ténybeli és jogi indokaival együtt.

| (46) | Bármely, az érintett jogaira vonatkozó korlátozásnak meg kell felelnie a Chartának, valamint az EEJE-nek, a Bíróság, illetve az Emberi Jogok Európai Bíróságának ítélkezési gyakorlata szerinti értelmezésnek megfelelően, és mindenekelőtt tiszteletben kell tartania az említett jogok és szabadságok lényeges tartalmát. |
| --- | --- |

(46)

Bármely, az érintett jogaira vonatkozó korlátozásnak meg kell felelnie a Chartának, valamint az EEJE-nek, a Bíróság, illetve az Emberi Jogok Európai Bíróságának ítélkezési gyakorlata szerinti értelmezésnek megfelelően, és mindenekelőtt tiszteletben kell tartania az említett jogok és szabadságok lényeges tartalmát.

| (47) | A természetes személyek számára biztosítani kell a rájuk vonatkozó pontatlan személyes adatok – különösen amikor azok tényekre vonatkoznak – helyesbítéséhez való jogot, illetve ha azok kezelése sérti ezen irányelvet, az adatok törléséhez való jogot. A helyesbítéshez való jog azonban nem érintheti például a tanúvallomások tartalmát. A természetes személyek számára biztosítani kell továbbá az adatkezelés korlátozásához való jogot, ha az említett természetes személy vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen, vagy ha a személyes adatokat bizonyítás céljából kell megőrizni. Különösen, ha az adott esetben alapos okkal feltételezhető, hogy a törlés sértheti az érintett jogos érdekeit, a személyes adatok törlése helyett korlátozni kell az adatkezelést. Ilyen esetben a korlátozott adatokat csak abból a célból lehet kezelni, amely megakadályozta a törlésüket. A személyes adatok kezelésének korlátozására alkalmazott módszerek közé tartozhat többek között az említett adatoknak – például archiválási céllal – egy másik adatkezelő rendszerbe történő migrálása vagy az említett adatok hozzáférhetőségük megszüntetése. Az adatkezelés korlátozását az automatizált nyilvántartási rendszerekben alapvetően technikai eszközökkel kell biztosítani. Azt a tényt, hogy a személyes adatok kezelése korlátozott, olyan módon kell jelezni a rendszerben, amelyből egyértelműen kitűnik, hogy az adatkezelés korlátozott jellegű. Az ilyen helyesbítésről, törlésről vagy az adatkezelés korlátozásáról tájékoztatni kell azokat a címzetteket, akikhez az adatokat továbbították, valamint azokat az illetékes hatóságokat, amelyektől a pontatlan adatok származtak. Az adatkezelőknek továbbá tartózkodniuk kell az ilyen adatok további terjesztésétől. |
| --- | --- |

(47)

A természetes személyek számára biztosítani kell a rájuk vonatkozó pontatlan személyes adatok – különösen amikor azok tényekre vonatkoznak – helyesbítéséhez való jogot, illetve ha azok kezelése sérti ezen irányelvet, az adatok törléséhez való jogot. A helyesbítéshez való jog azonban nem érintheti például a tanúvallomások tartalmát. A természetes személyek számára biztosítani kell továbbá az adatkezelés korlátozásához való jogot, ha az említett természetes személy vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen, vagy ha a személyes adatokat bizonyítás céljából kell megőrizni. Különösen, ha az adott esetben alapos okkal feltételezhető, hogy a törlés sértheti az érintett jogos érdekeit, a személyes adatok törlése helyett korlátozni kell az adatkezelést. Ilyen esetben a korlátozott adatokat csak abból a célból lehet kezelni, amely megakadályozta a törlésüket. A személyes adatok kezelésének korlátozására alkalmazott módszerek közé tartozhat többek között az említett adatoknak – például archiválási céllal – egy másik adatkezelő rendszerbe történő migrálása vagy az említett adatok hozzáférhetőségük megszüntetése. Az adatkezelés korlátozását az automatizált nyilvántartási rendszerekben alapvetően technikai eszközökkel kell biztosítani. Azt a tényt, hogy a személyes adatok kezelése korlátozott, olyan módon kell jelezni a rendszerben, amelyből egyértelműen kitűnik, hogy az adatkezelés korlátozott jellegű. Az ilyen helyesbítésről, törlésről vagy az adatkezelés korlátozásáról tájékoztatni kell azokat a címzetteket, akikhez az adatokat továbbították, valamint azokat az illetékes hatóságokat, amelyektől a pontatlan adatok származtak. Az adatkezelőknek továbbá tartózkodniuk kell az ilyen adatok további terjesztésétől.

| (48) | Ha az adatkezelő megtagadja az érintettől a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez, illetve az adatkezelés korlátozásához való jog gyakorlását, az érintett jogosult arra, hogy kérje az adatkezelés jogszerűségének vizsgálatát a nemzeti felügyeleti hatóságtól. Az érintettet e jogról tájékoztatni kell. Ha a felügyeleti hatóság az érintett nevében jár el, a felügyeleti hatóság legalább arról tájékoztatja az érintettet, hogy minden szükséges ellenőrzést vagy felülvizsgálatot elvégzett. A felügyeleti hatóság az érintettet tájékoztatja a bírósági jogorvoslathoz való jogáról is. |
| --- | --- |

(48)

Ha az adatkezelő megtagadja az érintettől a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez, illetve az adatkezelés korlátozásához való jog gyakorlását, az érintett jogosult arra, hogy kérje az adatkezelés jogszerűségének vizsgálatát a nemzeti felügyeleti hatóságtól. Az érintettet e jogról tájékoztatni kell. Ha a felügyeleti hatóság az érintett nevében jár el, a felügyeleti hatóság legalább arról tájékoztatja az érintettet, hogy minden szükséges ellenőrzést vagy felülvizsgálatot elvégzett. A felügyeleti hatóság az érintettet tájékoztatja a bírósági jogorvoslathoz való jogáról is.

| (49) | Ha a személyes adatokat bűnügyi nyomozás és büntetőügyben folytatott bírósági eljárás során kezelik, a tagállamok számára lehetővé kell tenni, hogy a tájékoztatáshoz, a hozzáféréshez, a helyesbítéshez, a törléshez és az adatkezelés korlátozásához való jogot a bírósági eljárásokra vonatkozó nemzeti szabályokkal összhangban gyakorolják. |
| --- | --- |

(49)

Ha a személyes adatokat bűnügyi nyomozás és büntetőügyben folytatott bírósági eljárás során kezelik, a tagállamok számára lehetővé kell tenni, hogy a tájékoztatáshoz, a hozzáféréshez, a helyesbítéshez, a törléshez és az adatkezelés korlátozásához való jogot a bírósági eljárásokra vonatkozó nemzeti szabályokkal összhangban gyakorolják.

| (50) | A személyes adatok az adatkezelő által vagy az adatkezelő nevében végzett bármilyen kezelése vonatkozásában az adatkezelő hatáskörét és felelősségét rögzíteni kell. Az adatkezelőt így különösen kötelezni kell arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint bizonyítani kell tudnia, hogy az adatkezelési tevékenységek megfelelnek ezen irányelvnek. Az ilyen intézkedéseket az adatkezelés jellegének, hatókörének, körülményének és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni. Az adatkezelőnek intézkedéseket kell hoznia többek között a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek személyes adatainak kezelése tekintetében alkalmazandó garanciák kidolgozására és alkalmazására. |
| --- | --- |

(50)

A személyes adatok az adatkezelő által vagy az adatkezelő nevében végzett bármilyen kezelése vonatkozásában az adatkezelő hatáskörét és felelősségét rögzíteni kell. Az adatkezelőt így különösen kötelezni kell arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint bizonyítani kell tudnia, hogy az adatkezelési tevékenységek megfelelnek ezen irányelvnek. Az ilyen intézkedéseket az adatkezelés jellegének, hatókörének, körülményének és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni. Az adatkezelőnek intézkedéseket kell hoznia többek között a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek személyes adatainak kezelése tekintetében alkalmazandó garanciák kidolgozására és alkalmazására.

| (51) | Az érintettek jogait és szabadságait veszélyeztető – változó valószínűségű és súlyosságú – kockázatok olyan adatkezelésből származhatnak, amely fizikai, vagyoni vagy nem vagyoni károkhoz vezethet, különösen ha az adatkezelésből hátrányos megkülönböztetés, személyazonosság-lopás vagy személyazonossággal való visszaélés, pénzügyi veszteség, a jó hírnév sérülése, a szakmai titoktartási kötelezettség által védett adatok bizalmas jellegének sérülése, az álnevesítés engedély nélkül történő feloldása, vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrány fakad; vagy ha az érintettek nem élhetnek jogaikkal és szabadságaikkal, vagy nem rendelkezhetnek saját személyes adataik felett; vagy ha olyan személyes adatok kerülnek kezelésre, amelyek faji- vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utalnak; valamint a genetikai adatokat vagy biometrikus adatokat a természetes személyek kizárólagos azonosításához kezelnek, illetve az egészségügyi adatok vagy a szexuális életre és szexuális irányultságra, büntetőjogi felelősség megállapítására vonatkozó határozatok, illetve bűncselekményekre, vagy ezekhez kapcsolódó biztonsági intézkedésekre vonatkozó adatokat kezelnek; vagy ha személyes jellemzők értékelésére, különösen munkahelyi teljesítménnyel kapcsolatos jellemzőkhöz, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz vagy érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére és előrejelzésére kerül sor személyes profil létrehozása vagy felhasználása céljából; ha kiszolgáltatott helyzetben lévő természetes személyek – különösen gyermekek – személyes adatainak a kezelésére kerül sor; vagy ha az adatkezelés nagy mennyiségű személyes adat alapján zajlik, és nagyszámú érintettre terjed ki. |
| --- | --- |

(51)

Az érintettek jogait és szabadságait veszélyeztető – változó valószínűségű és súlyosságú – kockázatok olyan adatkezelésből származhatnak, amely fizikai, vagyoni vagy nem vagyoni károkhoz vezethet, különösen ha az adatkezelésből hátrányos megkülönböztetés, személyazonosság-lopás vagy személyazonossággal való visszaélés, pénzügyi veszteség, a jó hírnév sérülése, a szakmai titoktartási kötelezettség által védett adatok bizalmas jellegének sérülése, az álnevesítés engedély nélkül történő feloldása, vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrány fakad; vagy ha az érintettek nem élhetnek jogaikkal és szabadságaikkal, vagy nem rendelkezhetnek saját személyes adataik felett; vagy ha olyan személyes adatok kerülnek kezelésre, amelyek faji- vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utalnak; valamint a genetikai adatokat vagy biometrikus adatokat a természetes személyek kizárólagos azonosításához kezelnek, illetve az egészségügyi adatok vagy a szexuális életre és szexuális irányultságra, büntetőjogi felelősség megállapítására vonatkozó határozatok, illetve bűncselekményekre, vagy ezekhez kapcsolódó biztonsági intézkedésekre vonatkozó adatokat kezelnek; vagy ha személyes jellemzők értékelésére, különösen munkahelyi teljesítménnyel kapcsolatos jellemzőkhöz, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz vagy érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére és előrejelzésére kerül sor személyes profil létrehozása vagy felhasználása céljából; ha kiszolgáltatott helyzetben lévő természetes személyek – különösen gyermekek – személyes adatainak a kezelésére kerül sor; vagy ha az adatkezelés nagy mennyiségű személyes adat alapján zajlik, és nagyszámú érintettre terjed ki.

| (52) | A kockázat valószínűségét és súlyosságát az adatkezelés jellegére, hatókörére, körülményére és céljaira tekintettel kell meghatározni. A kockázatot objektív értékelés alapján kell felmérni, amely által megállapítható, hogy az adatkezelési műveletek magas kockázattal járnak-e. Magas kockázatnak az a különös kockázat minősül, amely az érintettek jogainak és szabadságainak sérelmével jár. |
| --- | --- |

(52)

A kockázat valószínűségét és súlyosságát az adatkezelés jellegére, hatókörére, körülményére és céljaira tekintettel kell meghatározni. A kockázatot objektív értékelés alapján kell felmérni, amely által megállapítható, hogy az adatkezelési műveletek magas kockázattal járnak-e. Magas kockázatnak az a különös kockázat minősül, amely az érintettek jogainak és szabadságainak sérelmével jár.

| (53) | A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme az ezen irányelv követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát követeli meg. Az említett intézkedések alkalmazása nem függhet kizárólag gazdasági megfontolásoktól. Az adatkezelőnek ahhoz, hogy bizonyítani tudja az ezen irányelvnek való megfelelését, olyan belső szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek tiszteletben tartják mindenekelőtt a beépített adatvédelem és az alapértelmezett adatvédelem elveit. Ha az adatkezelő az ezen irányelv szerinti adatvédelmi hatásvizsgálatot végzett, annak eredményeit az intézkedések és eljárások kidolgozása során figyelembe kell venni. Az említett intézkedések többek között magukban foglalhatják az álnevesítés lehető leghamarabb történő alkalmazását. Az ezen irányelv alkalmazásában történő álnevesítés olyan eszköz lehet, amely előmozdítja különösen a személyes adatoknak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térségben való szabad áramlását. |
| --- | --- |

(53)

A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme az ezen irányelv követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát követeli meg. Az említett intézkedések alkalmazása nem függhet kizárólag gazdasági megfontolásoktól. Az adatkezelőnek ahhoz, hogy bizonyítani tudja az ezen irányelvnek való megfelelését, olyan belső szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek tiszteletben tartják mindenekelőtt a beépített adatvédelem és az alapértelmezett adatvédelem elveit. Ha az adatkezelő az ezen irányelv szerinti adatvédelmi hatásvizsgálatot végzett, annak eredményeit az intézkedések és eljárások kidolgozása során figyelembe kell venni. Az említett intézkedések többek között magukban foglalhatják az álnevesítés lehető leghamarabb történő alkalmazását. Az ezen irányelv alkalmazásában történő álnevesítés olyan eszköz lehet, amely előmozdítja különösen a személyes adatoknak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térségben való szabad áramlását.

| (54) | Az érintettek jogainak és szabadságainak védelme csakúgy, mint az adatkezelők és az adatfeldolgozók hatáskör és felelőssége – a felügyeleti hatóságok általi ellenőrzéssel és azok intézkedéseivel összefüggésben is – megköveteli az ezen irányelvbe foglalt felelősségi körök egyértelmű megállapítását, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel együttesen határozza meg az adatkezelés céljait és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatkezelési műveletet. |
| --- | --- |

(54)

Az érintettek jogainak és szabadságainak védelme csakúgy, mint az adatkezelők és az adatfeldolgozók hatáskör és felelőssége – a felügyeleti hatóságok általi ellenőrzéssel és azok intézkedéseivel összefüggésben is – megköveteli az ezen irányelvbe foglalt felelősségi körök egyértelmű megállapítását, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel együttesen határozza meg az adatkezelés céljait és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatkezelési műveletet.

| (55) | Az adatfeldolgozó adatkezelését jogi aktus, például szerződés szabályozza, amely köti az adatfeldolgozót az adatkezelővel szemben, és amely előírja különösen azt, hogy az adatfeldolgozó kizárólag az adatkezelő utasításai alapján végezheti tevékenységét. Az adatfeldolgozó figyelembe veszi a beépített adatvédelem és az alapértelmezett adatvédelem elvét. |
| --- | --- |

(55)

Az adatfeldolgozó adatkezelését jogi aktus, például szerződés szabályozza, amely köti az adatfeldolgozót az adatkezelővel szemben, és amely előírja különösen azt, hogy az adatfeldolgozó kizárólag az adatkezelő utasításai alapján végezheti tevékenységét. Az adatfeldolgozó figyelembe veszi a beépített adatvédelem és az alapértelmezett adatvédelem elvét.

| (56) | Az adatkezelő vagy adatfeldolgozó annak érdekében, hogy bizonyítsa, hogy megfelel ennek az irányelvnek, a hatáskörébe tartozó összes adatkezelési tevékenységének kategóriáiról nyilvántartást vezet. Minden adatkezelőt és adatfeldolgozót kötelezni kell arra, hogy a felügyeleti hatósággal együttműködjön és az említett nyilvántartást kérésre hozzáférhetővé tegye, így az érintett adatkezelési műveletek esetlegesen ellenőrizhetők. A nem automatizált adatkezelési rendszerekben személyes adatok kezelését végző adatkezelőnek vagy adatfeldolgozónak hatékony módszereket kell alkalmaznia az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és biztonságának szavatolására, például naplók vagy más nyilvántartások formájában. |
| --- | --- |

(56)

Az adatkezelő vagy adatfeldolgozó annak érdekében, hogy bizonyítsa, hogy megfelel ennek az irányelvnek, a hatáskörébe tartozó összes adatkezelési tevékenységének kategóriáiról nyilvántartást vezet. Minden adatkezelőt és adatfeldolgozót kötelezni kell arra, hogy a felügyeleti hatósággal együttműködjön és az említett nyilvántartást kérésre hozzáférhetővé tegye, így az érintett adatkezelési műveletek esetlegesen ellenőrizhetők. A nem automatizált adatkezelési rendszerekben személyes adatok kezelését végző adatkezelőnek vagy adatfeldolgozónak hatékony módszereket kell alkalmaznia az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és biztonságának szavatolására, például naplók vagy más nyilvántartások formájában.

| (57) | Naplózni kell legalább az automatizált adatkezelési rendszerben végzett adatkezelési műveleteket, például a gyűjtést, módosítást, betekintést, a közlést – ideértve a továbbítást is –, az összekapcsolást és a törlést. A naplóban olyan módon kell bejegyezni a személyes adatokba betekintő vagy azokat közlő természetes személyek személyazonosságát, hogy abból a bejegyzésből igazolható legyen az adatkezelési művelet indokoltsága. A naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, valamint az adatok integritásának és biztonságának szavatolására, valamint büntetőeljárások keretében használhatók fel. Az önellenőrzés az illetékes hatóságoknál lefolytatott belső fegyelmi eljárásokat is magában foglalja. |
| --- | --- |

(57)

Naplózni kell legalább az automatizált adatkezelési rendszerben végzett adatkezelési műveleteket, például a gyűjtést, módosítást, betekintést, a közlést – ideértve a továbbítást is –, az összekapcsolást és a törlést. A naplóban olyan módon kell bejegyezni a személyes adatokba betekintő vagy azokat közlő természetes személyek személyazonosságát, hogy abból a bejegyzésből igazolható legyen az adatkezelési művelet indokoltsága. A naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, valamint az adatok integritásának és biztonságának szavatolására, valamint büntetőeljárások keretében használhatók fel. Az önellenőrzés az illetékes hatóságoknál lefolytatott belső fegyelmi eljárásokat is magában foglalja.

| (58) | Az adatkezelő adatvédelmi hatásvizsgálatot végez, ha az adatkezelési műveletek a jellegükből, a hatókörükből vagy a céljaikból fakadóan valószínűsíthetően magas kockázatot jelentenek az érintettek jogaira és szabadságaira nézve. A hatásvizsgálat különösen a személyes adatok védelmét biztosító tervezett intézkedésekre, garanciákra és mechanizmusokra, valamint az ezen irányelvvel való összhang bemutatására terjed ki. A hatásvizsgálat tárgyát az adatkezelési műveletek releváns rendszerei és folyamatai kell, hogy képezzék, nem pedig egyedi esetek. |
| --- | --- |

(58)

Az adatkezelő adatvédelmi hatásvizsgálatot végez, ha az adatkezelési műveletek a jellegükből, a hatókörükből vagy a céljaikból fakadóan valószínűsíthetően magas kockázatot jelentenek az érintettek jogaira és szabadságaira nézve. A hatásvizsgálat különösen a személyes adatok védelmét biztosító tervezett intézkedésekre, garanciákra és mechanizmusokra, valamint az ezen irányelvvel való összhang bemutatására terjed ki. A hatásvizsgálat tárgyát az adatkezelési műveletek releváns rendszerei és folyamatai kell, hogy képezzék, nem pedig egyedi esetek.

| (59) | Az érintettek jogai és szabadságai hatékony védelmének biztosítása érdekében az adatkezelőnek vagy az adatfeldolgozónak bizonyos esetekben konzultálnia kell a felügyeleti hatósággal az adatkezelést megelőzően. |
| --- | --- |

(59)

Az érintettek jogai és szabadságai hatékony védelmének biztosítása érdekében az adatkezelőnek vagy az adatfeldolgozónak bizonyos esetekben konzultálnia kell a felügyeleti hatósággal az adatkezelést megelőzően.

| (60) | A biztonság fenntartása és az ezen irányelvet sértő adatkezelés megelőzése érdekében az adatkezelő vagy az adatfeldolgozónak értékelnie kell az adatkezelés természetéből fakadó kockázatokat, és az e kockázatok csökkentését szolgáló intézkedéseket, például titkosítást kell alkalmaznia. Ezek az intézkedések megfelelő szintű biztonságot – többek között a bizalmas kezelést is – kell, hogy biztosítsanak, figyelembe veszik a tudomány és technológia állását, valamint a végrehajtásnak a kockázatokkal és a védelmet igénylő személyes adatok jellegével összefüggő költségeit. Az adatbiztonsági kockázat felmérése során mérlegelni kell az adatkezelés jelentette olyan kockázatokat, mint például a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, módosítása, vagy jogosulatlan közlése vagy az azokhoz való jogosulatlan hozzáférés, amelyek különösen fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek. Az adatkezelőnek és az adatfeldolgozónak gondoskodnia kell arról, hogy a személyes adatok kezelését jogosulatlan személy ne végezhesse. |
| --- | --- |

(60)

A biztonság fenntartása és az ezen irányelvet sértő adatkezelés megelőzése érdekében az adatkezelő vagy az adatfeldolgozónak értékelnie kell az adatkezelés természetéből fakadó kockázatokat, és az e kockázatok csökkentését szolgáló intézkedéseket, például titkosítást kell alkalmaznia. Ezek az intézkedések megfelelő szintű biztonságot – többek között a bizalmas kezelést is – kell, hogy biztosítsanak, figyelembe veszik a tudomány és technológia állását, valamint a végrehajtásnak a kockázatokkal és a védelmet igénylő személyes adatok jellegével összefüggő költségeit. Az adatbiztonsági kockázat felmérése során mérlegelni kell az adatkezelés jelentette olyan kockázatokat, mint például a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, módosítása, vagy jogosulatlan közlése vagy az azokhoz való jogosulatlan hozzáférés, amelyek különösen fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek. Az adatkezelőnek és az adatfeldolgozónak gondoskodnia kell arról, hogy a személyes adatok kezelését jogosulatlan személy ne végezhesse.

| (61) | Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyek számára, ideértve többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérülését, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve az említett természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt. Következésképpen, amint az adatkezelő tudomására jut az adatvédelmi incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával az után, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az illetékes felügyeleti hatóságnak, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha ilyen értesítésre 72 órán belül nincs mód, akkor az értesítésben a késedelem okát meg kell jelölni, az előírt információk pedig – további indokolatlan késedelem nélkül – részletekben is közölhetők. |
| --- | --- |

(61)

Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyek számára, ideértve többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérülését, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve az említett természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt. Következésképpen, amint az adatkezelő tudomására jut az adatvédelmi incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával az után, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az illetékes felügyeleti hatóságnak, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha ilyen értesítésre 72 órán belül nincs mód, akkor az értesítésben a késedelem okát meg kell jelölni, az előírt információk pedig – további indokolatlan késedelem nélkül – részletekben is közölhetők.

| (62) | Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a természetes személyeket indokolatlan késedelem nélkül tájékoztatni kell annak érdekében, hogy a szükséges óvintézkedéseket megtehessék. Az tájékoztatásnak egyrészt tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, másrészt az érintett természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó ajánlásokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehető leghamarabb gondoskodni kell, szorosan együttműködve a felügyeleti hatósággal, és az általa vagy más érintett hatóságok által adott útmutatások tiszteletben tartásával. Például, a kár közvetlen veszélyének mérséklése az érintettek sürgős tájékoztatását teszi szükségessé, ugyanakkor hosszabb időtartamot indokolhat az, hogy megfelelő intézkedéseket szükséges végrehajtani az adatvédelmi incidens folytatódásának vagy megelőzésének érdekében. Ha a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások akadályozásának elkerülése, valamint annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása sérelmet szenvedjen, továbbá a közbiztonság vagy nemzetbiztonság védelme, illetve mások jogainak és szabadságainak védelme nem valósítható meg azzal, ha késleltetik vagy korlátozzák a természetes személy tájékoztatását az adatvédelmi incidensről, akkor – kivételes körülmények között – a tájékoztatás elmaradhat. |
| --- | --- |

(62)

Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a természetes személyeket indokolatlan késedelem nélkül tájékoztatni kell annak érdekében, hogy a szükséges óvintézkedéseket megtehessék. Az tájékoztatásnak egyrészt tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, másrészt az érintett természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó ajánlásokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehető leghamarabb gondoskodni kell, szorosan együttműködve a felügyeleti hatósággal, és az általa vagy más érintett hatóságok által adott útmutatások tiszteletben tartásával. Például, a kár közvetlen veszélyének mérséklése az érintettek sürgős tájékoztatását teszi szükségessé, ugyanakkor hosszabb időtartamot indokolhat az, hogy megfelelő intézkedéseket szükséges végrehajtani az adatvédelmi incidens folytatódásának vagy megelőzésének érdekében. Ha a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások akadályozásának elkerülése, valamint annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása sérelmet szenvedjen, továbbá a közbiztonság vagy nemzetbiztonság védelme, illetve mások jogainak és szabadságainak védelme nem valósítható meg azzal, ha késleltetik vagy korlátozzák a természetes személy tájékoztatását az adatvédelmi incidensről, akkor – kivételes körülmények között – a tájékoztatás elmaradhat.

| (63) | Az adatkezelő kijelöl egy személyt, aki segítséget nyújt az ezen irányelv alapján elfogadott rendelkezéseknek való belső megfelelés ellenőrzésében, kivéve abban az esetben, ha valamely tagállam úgy határoz, hogy a bíróságok és más független igazságügyi hatóságok részére igazságszolgáltatási feladatkörük ellátása keretében mentességet biztosít. Ez a kijelölt személy lehet az adatkezelő meglévő személyzetének valamely olyan tagja, aki az adatvédelmi joggal és gyakorlattal kapcsolatos külön képzésben részesült annak érdekében, hogy szakértői ismeretekkel rendelkezzen ezen a területen. A szakértői ismeretek szükséges szintjét mindenekelőtt az adatkezelő által végzett adatkezelés, valamint az általa kezelt személyes adatok tekintetében megkövetelt védelem alapján kell meghatározni. A kijelölt személy a feladatait teljes munkaidőben vagy részmunkaidőben is végezheti. Szervezeti struktúrájuk és méretük figyelembevételével több adatkezelő együttesen is kinevezhet adatvédelmi tisztviselőt például abban az esetben, ha a központi egységeikben közös erőforrásokat használnak fel. Az adatvédelmi tisztviselő az érintett adatkezelők struktúráján belül különböző pozíciókba is kinevezhető. Feladata, hogy az adatkezelő és az adatkezelést végző alkalmazottak munkáját az adatvédelmi kötelezettségeknek való megfelelésre vonatkozó tájékoztatással és tanácsadással segítse. Az ilyen adatvédelmi tisztviselőnek kötelezettségeit és feladatait független módon, a tagállami joggal összhangban kell tudnia ellátni. |
| --- | --- |

(63)

Az adatkezelő kijelöl egy személyt, aki segítséget nyújt az ezen irányelv alapján elfogadott rendelkezéseknek való belső megfelelés ellenőrzésében, kivéve abban az esetben, ha valamely tagállam úgy határoz, hogy a bíróságok és más független igazságügyi hatóságok részére igazságszolgáltatási feladatkörük ellátása keretében mentességet biztosít. Ez a kijelölt személy lehet az adatkezelő meglévő személyzetének valamely olyan tagja, aki az adatvédelmi joggal és gyakorlattal kapcsolatos külön képzésben részesült annak érdekében, hogy szakértői ismeretekkel rendelkezzen ezen a területen. A szakértői ismeretek szükséges szintjét mindenekelőtt az adatkezelő által végzett adatkezelés, valamint az általa kezelt személyes adatok tekintetében megkövetelt védelem alapján kell meghatározni. A kijelölt személy a feladatait teljes munkaidőben vagy részmunkaidőben is végezheti. Szervezeti struktúrájuk és méretük figyelembevételével több adatkezelő együttesen is kinevezhet adatvédelmi tisztviselőt például abban az esetben, ha a központi egységeikben közös erőforrásokat használnak fel. Az adatvédelmi tisztviselő az érintett adatkezelők struktúráján belül különböző pozíciókba is kinevezhető. Feladata, hogy az adatkezelő és az adatkezelést végző alkalmazottak munkáját az adatvédelmi kötelezettségeknek való megfelelésre vonatkozó tájékoztatással és tanácsadással segítse. Az ilyen adatvédelmi tisztviselőnek kötelezettségeit és feladatait független módon, a tagállami joggal összhangban kell tudnia ellátni.

| (64) | A tagállamok előírják, hogy harmadik országba vagy nemzetközi szervezet részére történő adattovábbításra kizárólag akkor kerüljön sor, ha az bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében szükséges, és a harmadik országbeli adatkezelő vagy a nemzetközi szervezet az ezen irányelv értelmében vett illetékes hatóságnak minősül. Az adattovábbítást kizárólag adatkezelőként eljáró illetékes hatóságok végezhetik, kivéve abban az esetben, ha adatfeldolgozók kifejezett utasítást kapnak arra, hogy az adatkezelők nevében adattovábbítást végezzenek. Ilyen adattovábbításra csak azokban az esetekben kerülhet sor, amelyeknél a Bizottság úgy ítélte meg, hogy az említett harmadik ország vagy nemzetközi szervezet megfelelő védelmi szintet képes biztosítani, vagy ha megfelelő garanciákat nyújtottak, vagy kivételes esetekben biztosított eltéréseket kell alkalmazni. Ha személyes adatokat az Unióból harmadik országbeli adatkezelőkhöz, adatfeldolgozókhoz, egyéb címzettekhez vagy nemzetközi szervezetek részére történő továbbítanak, az ezen irányelv által az Unióban a természetes személynek biztosított védelem szintje nem sérülhet, és annak fenn kell maradnia akkor is, ha az adott harmadik ország vagy nemzetközi szervezet ezt követően ugyanazon vagy másik harmadik országbeli adatkezelőhöz, adatfeldolgozóhoz vagy nemzetközi szervezet részére újból továbbítja az említett személyes adatokat. |
| --- | --- |

(64)

A tagállamok előírják, hogy harmadik országba vagy nemzetközi szervezet részére történő adattovábbításra kizárólag akkor kerüljön sor, ha az bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében szükséges, és a harmadik országbeli adatkezelő vagy a nemzetközi szervezet az ezen irányelv értelmében vett illetékes hatóságnak minősül. Az adattovábbítást kizárólag adatkezelőként eljáró illetékes hatóságok végezhetik, kivéve abban az esetben, ha adatfeldolgozók kifejezett utasítást kapnak arra, hogy az adatkezelők nevében adattovábbítást végezzenek. Ilyen adattovábbításra csak azokban az esetekben kerülhet sor, amelyeknél a Bizottság úgy ítélte meg, hogy az említett harmadik ország vagy nemzetközi szervezet megfelelő védelmi szintet képes biztosítani, vagy ha megfelelő garanciákat nyújtottak, vagy kivételes esetekben biztosított eltéréseket kell alkalmazni. Ha személyes adatokat az Unióból harmadik országbeli adatkezelőkhöz, adatfeldolgozókhoz, egyéb címzettekhez vagy nemzetközi szervezetek részére történő továbbítanak, az ezen irányelv által az Unióban a természetes személynek biztosított védelem szintje nem sérülhet, és annak fenn kell maradnia akkor is, ha az adott harmadik ország vagy nemzetközi szervezet ezt követően ugyanazon vagy másik harmadik országbeli adatkezelőhöz, adatfeldolgozóhoz vagy nemzetközi szervezet részére újból továbbítja az említett személyes adatokat.

| (65) | Ha valamely tagállamból személyes adatokat továbbítanak harmadik országoknak vagy nemzetközi szervezeteknek, az adattovábbításra alapértelmezés szerint csak azután kerülhet sor, hogy az a tagállam, amelyből az adatok származnak, engedélyezte azt. A hatékony bűnüldözési együttműködés szükségessé teszi azt, ha egy tagállam vagy harmadik ország közbiztonságát vagy egy tagállam alapvető érdekeit fenyegető veszély jellegénél fogva olyan közvetlen, hogy nincs mód az előzetes engedély kellő időben történő beszerzésére, akkor az illetékes hatóság számára lehetővé kell tenni, hogy a vonatkozó személyes adatokat az említett előzetes engedély nélkül továbbíthassa az érintett harmadik országnak vagy nemzetközi szervezetnek. A tagállamok előírják, hogy az adattovábbítás esetleges különös feltételeit a harmadik országokkal vagy a nemzetközi szervezetekkel közölni kell. A személyes adatok újbóli továbbítására kizárólag az eredeti adattovábbítást végző illetékes hatóság előzetes engedélyével kerülhet sor. Amikor az eredeti adattovábbítást végző illetékes hatóság az újbóli továbbítás engedélyezése iránti kérelemről határoz, figyelembe vesz minden releváns tényezőt, többek között a bűncselekmény súlyosságát, azt, hogy az eredeti adattovábbítás milyen egyedi feltételekkel és milyen céllal történt, a büntetőjogi szankció jellegét és végrehajtásának feltételeit, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy annál a nemzetközi szervezetnél, amely a személyes adatok újbóli továbbításának címzettje. Az eredeti adattovábbítást végző illetékes hatóság külön feltételekhez is kötheti az újbóli továbbítás engedélyezését. Ezeket a külön feltételeket például adatkezelési kódokkal lehet ismertetni. |
| --- | --- |

(65)

Ha valamely tagállamból személyes adatokat továbbítanak harmadik országoknak vagy nemzetközi szervezeteknek, az adattovábbításra alapértelmezés szerint csak azután kerülhet sor, hogy az a tagállam, amelyből az adatok származnak, engedélyezte azt. A hatékony bűnüldözési együttműködés szükségessé teszi azt, ha egy tagállam vagy harmadik ország közbiztonságát vagy egy tagállam alapvető érdekeit fenyegető veszély jellegénél fogva olyan közvetlen, hogy nincs mód az előzetes engedély kellő időben történő beszerzésére, akkor az illetékes hatóság számára lehetővé kell tenni, hogy a vonatkozó személyes adatokat az említett előzetes engedély nélkül továbbíthassa az érintett harmadik országnak vagy nemzetközi szervezetnek. A tagállamok előírják, hogy az adattovábbítás esetleges különös feltételeit a harmadik országokkal vagy a nemzetközi szervezetekkel közölni kell. A személyes adatok újbóli továbbítására kizárólag az eredeti adattovábbítást végző illetékes hatóság előzetes engedélyével kerülhet sor. Amikor az eredeti adattovábbítást végző illetékes hatóság az újbóli továbbítás engedélyezése iránti kérelemről határoz, figyelembe vesz minden releváns tényezőt, többek között a bűncselekmény súlyosságát, azt, hogy az eredeti adattovábbítás milyen egyedi feltételekkel és milyen céllal történt, a büntetőjogi szankció jellegét és végrehajtásának feltételeit, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy annál a nemzetközi szervezetnél, amely a személyes adatok újbóli továbbításának címzettje. Az eredeti adattovábbítást végző illetékes hatóság külön feltételekhez is kötheti az újbóli továbbítás engedélyezését. Ezeket a külön feltételeket például adatkezelési kódokkal lehet ismertetni.

| (66) | A Bizottság az Unió egészére kiterjedő hatállyal úgy határozhat, hogy bizonyos harmadik országok, a harmadik ország valamely területe vagy egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet megfelelő adatvédelmi szintet nyújt, biztosítva ezáltal az Unió egész területén a jogbiztonságot és az egységességet az ilyen védelmi szintet biztosítónak tekintett harmadik országok vagy nemzetközi szervezetek vonatkozásában. Ilyen esetekben a személyes adatok az említett országokba történő továbbításához külön engedély beszerzése nem szükséges, kivéve amikor, ha az adattovábbításhoz egy másik tagállamnak – mégpedig annak a tagállamnak, amelytől az adatok származnak – engedélyt kell adnia. |
| --- | --- |

(66)

A Bizottság az Unió egészére kiterjedő hatállyal úgy határozhat, hogy bizonyos harmadik országok, a harmadik ország valamely területe vagy egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet megfelelő adatvédelmi szintet nyújt, biztosítva ezáltal az Unió egész területén a jogbiztonságot és az egységességet az ilyen védelmi szintet biztosítónak tekintett harmadik országok vagy nemzetközi szervezetek vonatkozásában. Ilyen esetekben a személyes adatok az említett országokba történő továbbításához külön engedély beszerzése nem szükséges, kivéve amikor, ha az adattovábbításhoz egy másik tagállamnak – mégpedig annak a tagállamnak, amelytől az adatok származnak – engedélyt kell adnia.

| (67) | A Bizottság – az Unió alapjául szolgáló alapvető értékekkel, így különösen az emberi jogok védelmével összhangban – a harmadik országra vagy a harmadik ország valamely területére vagy meghatározott ágazatára vonatkozó értékelés elkészítésekor figyelembe veszi, hogy az adott harmadik országban mennyire tartják tiszteletben a jogállamiságot, valamint az igazságszolgáltatáshoz való jogot, valamint a nemzetközi emberi jogi normákat és előírásokat, valamint megvizsgálja az adott ország általános és ágazati jogszabályait, ideértve a közbiztonságra, a védelemre és a nemzetbiztonságra vonatkozó jogszabályait, valamint közrendjét és büntetőjogát is. A harmadik ország valamely területére vagy meghatározott ágazatára vonatkozó megfelelőségi határozat elfogadásakor olyan egyértelmű és objektív kritériumokat szükséges figyelembe venni, mint például a konkrét adatkezelési tevékenységek, továbbá a harmadik országban alkalmazandó jogi normák és jogszabályok hatálya. A harmadik országnak olyan garanciákat kell vállalnia, amelyek megfelelő – az Unión belül biztosítottal lényegében egyenértékű – védelmi szintet biztosítanak, különösen amikor egy vagy több konkrét ágazatban történik az adatkezelés. A harmadik országnak gondoskodnia kell különösen a hatékony, független adatvédelmi felügyeletről, valamint a tagállami adatvédelmi hatóságokkal való együttműködés mechanizmusairól, továbbá biztosítania kell, hogy az érintettek hatékony és érvényesíthető jogokkal, valamint hatékony közigazgatási és bírósági jogorvoslati lehetőségekkel rendelkezzenek. |
| --- | --- |

(67)

A Bizottság – az Unió alapjául szolgáló alapvető értékekkel, így különösen az emberi jogok védelmével összhangban – a harmadik országra vagy a harmadik ország valamely területére vagy meghatározott ágazatára vonatkozó értékelés elkészítésekor figyelembe veszi, hogy az adott harmadik országban mennyire tartják tiszteletben a jogállamiságot, valamint az igazságszolgáltatáshoz való jogot, valamint a nemzetközi emberi jogi normákat és előírásokat, valamint megvizsgálja az adott ország általános és ágazati jogszabályait, ideértve a közbiztonságra, a védelemre és a nemzetbiztonságra vonatkozó jogszabályait, valamint közrendjét és büntetőjogát is. A harmadik ország valamely területére vagy meghatározott ágazatára vonatkozó megfelelőségi határozat elfogadásakor olyan egyértelmű és objektív kritériumokat szükséges figyelembe venni, mint például a konkrét adatkezelési tevékenységek, továbbá a harmadik országban alkalmazandó jogi normák és jogszabályok hatálya. A harmadik országnak olyan garanciákat kell vállalnia, amelyek megfelelő – az Unión belül biztosítottal lényegében egyenértékű – védelmi szintet biztosítanak, különösen amikor egy vagy több konkrét ágazatban történik az adatkezelés. A harmadik országnak gondoskodnia kell különösen a hatékony, független adatvédelmi felügyeletről, valamint a tagállami adatvédelmi hatóságokkal való együttműködés mechanizmusairól, továbbá biztosítania kell, hogy az érintettek hatékony és érvényesíthető jogokkal, valamint hatékony közigazgatási és bírósági jogorvoslati lehetőségekkel rendelkezzenek.

| (68) | A harmadik ország vagy a nemzetközi szervezet által vállalt nemzetközi kötelezettségeken túl a Bizottság figyelembe veszi a harmadik ország vagy a nemzetközi szervezet egyéb, többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségeit is, továbbá az említett kötelezettségek végrehajtását. Különösen figyelembe kell venni azt, ha a harmadik ország csatlakozott a személyes adatok gépi feldolgozása során az egyének védelméről szóló, 1981. január 28-i Európa tanácsi egyezményhez, valamint annak kiegészítő jegyzőkönyvéhez. A Bizottságnak a harmadik országok vagy a nemzetközi szervezetek által biztosított védelem szintjének értékelésekor konzultálnia kell az (EU) 2016/679 rendelettel létrehozott Európai Adatvédelmi Testülettel (a továbbiakban: a Testület). A Bizottság figyelembe veszi továbbá, hogy van-e az (EU) 2016/679 rendelet 45. cikkével összhangban elfogadott, releváns bizottsági megfelelőségi határozat. |
| --- | --- |

(68)

A harmadik ország vagy a nemzetközi szervezet által vállalt nemzetközi kötelezettségeken túl a Bizottság figyelembe veszi a harmadik ország vagy a nemzetközi szervezet egyéb, többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségeit is, továbbá az említett kötelezettségek végrehajtását. Különösen figyelembe kell venni azt, ha a harmadik ország csatlakozott a személyes adatok gépi feldolgozása során az egyének védelméről szóló, 1981. január 28-i Európa tanácsi egyezményhez, valamint annak kiegészítő jegyzőkönyvéhez. A Bizottságnak a harmadik országok vagy a nemzetközi szervezetek által biztosított védelem szintjének értékelésekor konzultálnia kell az (EU) 2016/679 rendelettel létrehozott Európai Adatvédelmi Testülettel (a továbbiakban: a Testület). A Bizottság figyelembe veszi továbbá, hogy van-e az (EU) 2016/679 rendelet 45. cikkével összhangban elfogadott, releváns bizottsági megfelelőségi határozat.

| (69) | A Bizottság ellenőrzi a harmadik ország, annak valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított védelem szintjével kapcsolatos határozatokban foglaltak érvényesülését. A megfelelőségi határozataiban a Bizottság rendelkezik a határozatokban foglaltak érvényesülése időszakos felülvizsgálatának mechanizmusáról. Az időszakos felülvizsgálatot az említett harmadik országgal vagy nemzetközi szervezettel konzultálva kell elvégezni, és annak során a harmadik országgal vagy nemzetközi szervezettel kapcsolatos minden releváns fejleményt figyelembe kell venni. |
| --- | --- |

(69)

A Bizottság ellenőrzi a harmadik ország, annak valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított védelem szintjével kapcsolatos határozatokban foglaltak érvényesülését. A megfelelőségi határozataiban a Bizottság rendelkezik a határozatokban foglaltak érvényesülése időszakos felülvizsgálatának mechanizmusáról. Az időszakos felülvizsgálatot az említett harmadik országgal vagy nemzetközi szervezettel konzultálva kell elvégezni, és annak során a harmadik országgal vagy nemzetközi szervezettel kapcsolatos minden releváns fejleményt figyelembe kell venni.

| (70) | A Bizottság azt is megállapíthatja, hogy valamely harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet a továbbiakban már nem biztosít megfelelő szintű adatvédelmet. Következésképpen a személyes adatok ilyen harmadik országba vagy nemzetközi szervezet részére történő továbbítását meg kell tiltani, kivéve, ha az ebben az irányelvben foglalt, adattovábbításhoz kapcsolódó követelmények a megfelelő garanciák és kivételes esetekre vonatkozó eltérések alá esnek. A Bizottság és az ilyen harmadik országok vagy nemzetközi szervezetek közötti konzultációkra vonatkozó eljárásokról rendelkezik. A Bizottság megfelelő időben tájékoztatja az érintett harmadik országot vagy nemzetközi szervezetet az indokokról, és a helyzet orvoslása érdekében konzultációkat folytat vele. |
| --- | --- |

(70)

A Bizottság azt is megállapíthatja, hogy valamely harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet a továbbiakban már nem biztosít megfelelő szintű adatvédelmet. Következésképpen a személyes adatok ilyen harmadik országba vagy nemzetközi szervezet részére történő továbbítását meg kell tiltani, kivéve, ha az ebben az irányelvben foglalt, adattovábbításhoz kapcsolódó követelmények a megfelelő garanciák és kivételes esetekre vonatkozó eltérések alá esnek. A Bizottság és az ilyen harmadik országok vagy nemzetközi szervezetek közötti konzultációkra vonatkozó eljárásokról rendelkezik. A Bizottság megfelelő időben tájékoztatja az érintett harmadik országot vagy nemzetközi szervezetet az indokokról, és a helyzet orvoslása érdekében konzultációkat folytat vele.

| (71) | Ha az adattovábbítás nem ilyen megfelelőségi határozaton alapul, akkor az adattovábbítás csak akkor lehetséges, ha a személyes adatok védelmét biztosító jogilag kötelező erejű jogi eszköz útján megfelelő garanciákat nyújtottak, vagy ha az adatkezelő az adattovábbítás valamennyi körülményét megvizsgálta, és e vizsgálat alapján úgy véli, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn. Ilyen jogilag kötelező erejű jogi eszközök lehetnek például az olyan, tagállamok által kötött, jogilag kötelező erejű kétoldalú megállapodások, amelyeket a tagállamok átültettek belső jogrendjükbe, és amelyeket az érintettek érvényesíthetnek, továbbá amelyek biztosítják az adatvédelmi követelményeknek való megfelelést és az érintettek jogainak – köztük a hatékony közigazgatási vagy bírósági jogorvoslat igénybevételéhez való jognak – az érvényesülését. Az adatkezelő az adattovábbítás valamennyi körülményének megvizsgálásakor figyelembe kell, hogy vegye az Europol vagy az Eurojust és a harmadik országok által kötött, a személyes adatok cseréjét lehetővé tevő együttműködési megállapodásokat is. Az adatkezelő azt is figyelembe veszi azt a tényt is, ha a személyes adatok továbbítására titoktartási kötelezettség és a célhoz kötöttség elve vonatkozik, mivel ezek biztosítják, hogy az adatok nem használhatók fel az adattovábbítás céljától eltérő célra. Emellett az adatkezelő figyelembe veszi azt is, hogy a személyes adatokat halálbüntetés vagy egyéb kegyetlen és embertelen bánásmód kérelmezéséhez, kiszabásához vagy végrehajtásához ne használják fel. Annak ellenére, hogy az ezek a feltételek olyan megfelelő garanciáknak tekinthetők, amelyek lehetővé teszik az adattovábbítást, az adatkezelő számára lehetővé kell tenni, hogy további garanciákat is megkövetelhessen. |
| --- | --- |

(71)

Ha az adattovábbítás nem ilyen megfelelőségi határozaton alapul, akkor az adattovábbítás csak akkor lehetséges, ha a személyes adatok védelmét biztosító jogilag kötelező erejű jogi eszköz útján megfelelő garanciákat nyújtottak, vagy ha az adatkezelő az adattovábbítás valamennyi körülményét megvizsgálta, és e vizsgálat alapján úgy véli, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn. Ilyen jogilag kötelező erejű jogi eszközök lehetnek például az olyan, tagállamok által kötött, jogilag kötelező erejű kétoldalú megállapodások, amelyeket a tagállamok átültettek belső jogrendjükbe, és amelyeket az érintettek érvényesíthetnek, továbbá amelyek biztosítják az adatvédelmi követelményeknek való megfelelést és az érintettek jogainak – köztük a hatékony közigazgatási vagy bírósági jogorvoslat igénybevételéhez való jognak – az érvényesülését. Az adatkezelő az adattovábbítás valamennyi körülményének megvizsgálásakor figyelembe kell, hogy vegye az Europol vagy az Eurojust és a harmadik országok által kötött, a személyes adatok cseréjét lehetővé tevő együttműködési megállapodásokat is. Az adatkezelő azt is figyelembe veszi azt a tényt is, ha a személyes adatok továbbítására titoktartási kötelezettség és a célhoz kötöttség elve vonatkozik, mivel ezek biztosítják, hogy az adatok nem használhatók fel az adattovábbítás céljától eltérő célra. Emellett az adatkezelő figyelembe veszi azt is, hogy a személyes adatokat halálbüntetés vagy egyéb kegyetlen és embertelen bánásmód kérelmezéséhez, kiszabásához vagy végrehajtásához ne használják fel. Annak ellenére, hogy az ezek a feltételek olyan megfelelő garanciáknak tekinthetők, amelyek lehetővé teszik az adattovábbítást, az adatkezelő számára lehetővé kell tenni, hogy további garanciákat is megkövetelhessen.

| (72) | Megfelelőségi határozat, illetve megfelelő garanciák hiányában az adatok, illetve adatkategóriák továbbítására csak kivételes esetekben kerülhet sor, ha az az érintett vagy más személy létfontosságú érdekeinek védelme, az érintett jogos érdekeinek a személyes adatot továbbító tagállam joga által előírt biztosítása vagy valamely tagállam vagy harmadik ország közbiztonságát közvetlenül és súlyosan fenyegető veszély elhárítása miatt szükséges, illetve ha bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése –, illetve jogi igények előterjesztése, érvényesítése és védelme – miatt szükséges. Az említett eltéréseket megszorítóan kell értelmezni, és azok nem tehetik lehetővé a személyes adatok gyakori, jelentős mértékű és strukturális továbbítását, vagy adatok nagy mennyiségben történő továbbítását, azonban az adattovábbításnak a feltétlenül szükséges adatokra kell korlátozódnia. Az adattovábbítást dokumentálni kell, és a felügyeleti hatóság kérésére annak rendelkezésére kell bocsátani annak érdekében, hogy ellenőrizze az adattovábbítás jogszerűségét. |
| --- | --- |

(72)

Megfelelőségi határozat, illetve megfelelő garanciák hiányában az adatok, illetve adatkategóriák továbbítására csak kivételes esetekben kerülhet sor, ha az az érintett vagy más személy létfontosságú érdekeinek védelme, az érintett jogos érdekeinek a személyes adatot továbbító tagállam joga által előírt biztosítása vagy valamely tagállam vagy harmadik ország közbiztonságát közvetlenül és súlyosan fenyegető veszély elhárítása miatt szükséges, illetve ha bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése –, illetve jogi igények előterjesztése, érvényesítése és védelme – miatt szükséges. Az említett eltéréseket megszorítóan kell értelmezni, és azok nem tehetik lehetővé a személyes adatok gyakori, jelentős mértékű és strukturális továbbítását, vagy adatok nagy mennyiségben történő továbbítását, azonban az adattovábbításnak a feltétlenül szükséges adatokra kell korlátozódnia. Az adattovábbítást dokumentálni kell, és a felügyeleti hatóság kérésére annak rendelkezésére kell bocsátani annak érdekében, hogy ellenőrizze az adattovábbítás jogszerűségét.

| (73) | A tagállamok illetékes hatóságai a számukra jogilag előírt feladatok végrehajtása érdekében, a releváns adatok cseréjéhez, jelenleg is alkalmaznak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén a harmadik országokkal kötött hatályos két- és többoldalú nemzetközi megállapodásokat. Erre alapértelmezés szerint, ezen irányelv alkalmazásában, az érintett harmadik országok illetékes hatóságain keresztül vagy legalább azok közreműködésével kerül sor, néha akár két- vagy többoldalú nemzetközi megállapodás hiányában is. Bizonyos egyedi esetekben azonban az ilyen harmadik országbeli hatósággal való kapcsolatfelvételt előíró rendes eljárások nem hatékonyak vagy nem megfelelőek, elsősorban azért, mert az adattovábbítást nem lehetne időben végrehajtani, vagy mert a harmadik országbeli hatóság nem tartja tiszteletben a jogállamiságot vagy a nemzetközi emberi jogi normákat és előírásokat, és ezért a tagállamok illetékes hatóságai úgy határozhatnak, hogy közvetlenül harmadik országbeli címzettek részére továbbítják a személyes adatokat. Ilyen helyzet merülhet fel, ha fennáll a veszély, hogy valamely személy bűncselekmény áldozatává válik és a személyes adatok továbbítása az említett természetes személy életének megmentése érdekében, illetve valamely bűncselekmény – ideértve a terrorcselekményt – azonnali elkövetésének megelőzése érdekében sürgősen szükséges. Noha az illetékes hatóságok és a harmadik országbeli címzettek közötti efféle adattovábbításra csak egyedi és meghatározott helyzetekben kerülhet sor, ennek az irányelvnek rendelkezéseket kell megállapítania az ilyen eseteket szabályozó feltételekre vonatkozóan is. Ezek a rendelkezések nem tekinthetők a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területére vonatkozó, bármely hatályos két- vagy többoldalú nemzetközi megállapodások rendelkezéseitől való eltérésnek. Ezeket a szabályokat továbbá ezen irányelv egyéb szabályaival, különösen az adatkezelés jogszerűségére vonatkozó, illetve az V. fejezetben foglalt szabályokkal együttesen kell alkalmazni. |
| --- | --- |

(73)

A tagállamok illetékes hatóságai a számukra jogilag előírt feladatok végrehajtása érdekében, a releváns adatok cseréjéhez, jelenleg is alkalmaznak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén a harmadik országokkal kötött hatályos két- és többoldalú nemzetközi megállapodásokat. Erre alapértelmezés szerint, ezen irányelv alkalmazásában, az érintett harmadik országok illetékes hatóságain keresztül vagy legalább azok közreműködésével kerül sor, néha akár két- vagy többoldalú nemzetközi megállapodás hiányában is. Bizonyos egyedi esetekben azonban az ilyen harmadik országbeli hatósággal való kapcsolatfelvételt előíró rendes eljárások nem hatékonyak vagy nem megfelelőek, elsősorban azért, mert az adattovábbítást nem lehetne időben végrehajtani, vagy mert a harmadik országbeli hatóság nem tartja tiszteletben a jogállamiságot vagy a nemzetközi emberi jogi normákat és előírásokat, és ezért a tagállamok illetékes hatóságai úgy határozhatnak, hogy közvetlenül harmadik országbeli címzettek részére továbbítják a személyes adatokat. Ilyen helyzet merülhet fel, ha fennáll a veszély, hogy valamely személy bűncselekmény áldozatává válik és a személyes adatok továbbítása az említett természetes személy életének megmentése érdekében, illetve valamely bűncselekmény – ideértve a terrorcselekményt – azonnali elkövetésének megelőzése érdekében sürgősen szükséges. Noha az illetékes hatóságok és a harmadik országbeli címzettek közötti efféle adattovábbításra csak egyedi és meghatározott helyzetekben kerülhet sor, ennek az irányelvnek rendelkezéseket kell megállapítania az ilyen eseteket szabályozó feltételekre vonatkozóan is. Ezek a rendelkezések nem tekinthetők a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területére vonatkozó, bármely hatályos két- vagy többoldalú nemzetközi megállapodások rendelkezéseitől való eltérésnek. Ezeket a szabályokat továbbá ezen irányelv egyéb szabályaival, különösen az adatkezelés jogszerűségére vonatkozó, illetve az V. fejezetben foglalt szabályokkal együttesen kell alkalmazni.

| (74) | Ha a személyes adatok átlépik a határokat, megnövekedhet annak a kockázata, hogy a természetes személyek nem képesek gyakorolni adatvédelmi jogaikat annak érdekében, hogy védekezzenek az említett adatok jogellenes felhasználása vagy közlése ellen érdekében. Ugyanakkor előfordulhat, hogy a felügyeleti hatóságoknak az országuk határain kívül folyó tevékenységek tekintetében nem áll módjukban a panaszok kapcsán eljárni vagy vizsgálatot folytatni. A határokon átnyúló közös munka érdekében tett erőfeszítéseiket hátráltathatják az elégtelen megelőzési és jogorvoslati hatáskörök, valamint az egymásnak ellentmondó jogrendszerek is. Ezért elő kell mozdítani az adatvédelmi felügyeleti hatóságok és külföldi partnereik közötti szorosabb együttműködést az információcsere elősegítése érdekében. |
| --- | --- |

(74)

Ha a személyes adatok átlépik a határokat, megnövekedhet annak a kockázata, hogy a természetes személyek nem képesek gyakorolni adatvédelmi jogaikat annak érdekében, hogy védekezzenek az említett adatok jogellenes felhasználása vagy közlése ellen érdekében. Ugyanakkor előfordulhat, hogy a felügyeleti hatóságoknak az országuk határain kívül folyó tevékenységek tekintetében nem áll módjukban a panaszok kapcsán eljárni vagy vizsgálatot folytatni. A határokon átnyúló közös munka érdekében tett erőfeszítéseiket hátráltathatják az elégtelen megelőzési és jogorvoslati hatáskörök, valamint az egymásnak ellentmondó jogrendszerek is. Ezért elő kell mozdítani az adatvédelmi felügyeleti hatóságok és külföldi partnereik közötti szorosabb együttműködést az információcsere elősegítése érdekében.

| (75) | Ahhoz, hogy a természetes személyek a személyes adataik kezelése tekintetében megfelelő védelemben részesüljenek, elengedhetetlen, hogy a tagállamokban a feladataikat teljes mértékben függetlenül ellátó felügyeleti hatóságok jöjjenek létre. A felügyeleti hatóságok a természetes személyek személyes adataik kezelése tekintetében történő védelmének biztosítása érdekében figyelemmel kísérik ezen irányelv alapján elfogadott rendelkezések alkalmazását, és hozzájárulnak annak az Unió egész területén történő egységes alkalmazásához. A felügyeleti hatóságoknak ebből a célból együttműködnek egymással és a Bizottsággal. |
| --- | --- |

(75)

Ahhoz, hogy a természetes személyek a személyes adataik kezelése tekintetében megfelelő védelemben részesüljenek, elengedhetetlen, hogy a tagállamokban a feladataikat teljes mértékben függetlenül ellátó felügyeleti hatóságok jöjjenek létre. A felügyeleti hatóságok a természetes személyek személyes adataik kezelése tekintetében történő védelmének biztosítása érdekében figyelemmel kísérik ezen irányelv alapján elfogadott rendelkezések alkalmazását, és hozzájárulnak annak az Unió egész területén történő egységes alkalmazásához. A felügyeleti hatóságoknak ebből a célból együttműködnek egymással és a Bizottsággal.

| (76) | A tagállamok az (EU) 2016/679 rendelet alapján korábban létrehozott felügyeleti hatóságra ruházhatják az ezen irányelv alapján létrehozandó nemzeti felügyeleti hatóság által ellátandó feladatokat. |
| --- | --- |

(76)

A tagállamok az (EU) 2016/679 rendelet alapján korábban létrehozott felügyeleti hatóságra ruházhatják az ezen irányelv alapján létrehozandó nemzeti felügyeleti hatóság által ellátandó feladatokat.

| (77) | A tagállamok számára lehetővé kell tenni, hogy saját alkotmányos, szervezeti és közigazgatási szerkezetükhöz igazodva egynél több felügyeleti hatóságot is létrehozhatnak. A felügyeleti hatóság számára biztosítani kell a feladatai – beleértve az Unió bármely másik felügyeleti hatóságával való kölcsönös segítségnyújtáshoz és együttműködéshez kapcsolódó feladatokat is – hatékony ellátásához szükséges anyagi és személyzeti forrásokat, helyiségeket és infrastruktúrát. Minden felügyeleti hatóság saját, éves költségvetéssel rendelkezik, amely a nemzeti vagy állami költségvetés részét képezheti. |
| --- | --- |

(77)

A tagállamok számára lehetővé kell tenni, hogy saját alkotmányos, szervezeti és közigazgatási szerkezetükhöz igazodva egynél több felügyeleti hatóságot is létrehozhatnak. A felügyeleti hatóság számára biztosítani kell a feladatai – beleértve az Unió bármely másik felügyeleti hatóságával való kölcsönös segítségnyújtáshoz és együttműködéshez kapcsolódó feladatokat is – hatékony ellátásához szükséges anyagi és személyzeti forrásokat, helyiségeket és infrastruktúrát. Minden felügyeleti hatóság saját, éves költségvetéssel rendelkezik, amely a nemzeti vagy állami költségvetés részét képezheti.

| (78) | A felügyeleti hatóságokat a pénzügyi kiadásaikat illetően független ellenőrzési vagy nyomonkövetési mechanizmusnak kell alávetni, feltéve, hogy az ilyen pénzügyi felügyelet nem érinti a függetlenségüket. |
| --- | --- |

(78)

A felügyeleti hatóságokat a pénzügyi kiadásaikat illetően független ellenőrzési vagy nyomonkövetési mechanizmusnak kell alávetni, feltéve, hogy az ilyen pénzügyi felügyelet nem érinti a függetlenségüket.

| (79) | A felügyeleti hatóság tagjára vagy tagjaira vonatkozó általános feltételeket a tagállamok jogszabályban kell rögzíteni, és elő kell írni azt, hogy az említett tagokat az adott tagállam parlamentje vagy kormánya vagy államfője nevezi ki a kormány, a kormány egyik tagja, a parlament vagy valamelyik parlamenti kamara javaslata alapján, vagy pedig azt, hogy a tagokat a tagállami jogban a kinevezéssel megbízott független szerv átlátható eljárás keretében nevezi ki. A felügyeleti hatóság függetlenségének biztosítása érdekében, az említett tag vagy tagok feddhetetlenül járnak el, tartózkodniuk kell a feladatkörükkel össze nem egyezethető cselekményektől, valamint hivatali idejük alatt nem vállalhatnak semmilyen azzal összeférhetetlen – akár kereső, akár ingyenesen végzett – szakmai tevékenységet. A felügyeleti hatóság függetlenségének biztosítása érdekében a hatóság személyzetét a felügyeleti hatóság választja ki; a kiválasztásban részt vehet egy a tagállami jogban ezzel megbízott független szerv is. |
| --- | --- |

(79)

A felügyeleti hatóság tagjára vagy tagjaira vonatkozó általános feltételeket a tagállamok jogszabályban kell rögzíteni, és elő kell írni azt, hogy az említett tagokat az adott tagállam parlamentje vagy kormánya vagy államfője nevezi ki a kormány, a kormány egyik tagja, a parlament vagy valamelyik parlamenti kamara javaslata alapján, vagy pedig azt, hogy a tagokat a tagállami jogban a kinevezéssel megbízott független szerv átlátható eljárás keretében nevezi ki. A felügyeleti hatóság függetlenségének biztosítása érdekében, az említett tag vagy tagok feddhetetlenül járnak el, tartózkodniuk kell a feladatkörükkel össze nem egyezethető cselekményektől, valamint hivatali idejük alatt nem vállalhatnak semmilyen azzal összeférhetetlen – akár kereső, akár ingyenesen végzett – szakmai tevékenységet. A felügyeleti hatóság függetlenségének biztosítása érdekében a hatóság személyzetét a felügyeleti hatóság választja ki; a kiválasztásban részt vehet egy a tagállami jogban ezzel megbízott független szerv is.

| (80) | Bár ezt az irányelvet a tagállami bíróságok és egyéb igazságügyi hatóságok tevékenységére is alkalmazni kell, a felügyeleti hatóságok illetékessége nem terjed ki a személyes adatok kezelésére abban az esetben, amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el, annak érdekében, hogy a bírák függetlenségének megőrzése biztosított legyen igazságszolgáltatási feladataik ellátása során. Ez a kivétel azonban a bírósági ügyekben ellátott igazságszolgáltatási tevékenységekre korlátozódik, és nem alkalmazható azokra az egyéb tevékenységekre, amelyekben a bírák esetleg a tagállami jognak megfelelően még részt vehetnek. A tagállamok azt is előírhatják, hogy a felügyeleti hatóság hatásköre nem terjed ki az olyan személyes adatok kezelésre, amelyet az egyéb független igazságügyi hatóságok – például az ügyészségek – igazságszolgáltatási feladatkörükben eljárva végeznek. Mindenesetre, az ezen irányelvben foglalt szabályoknak a bíróságok és egyéb független igazságügyi hatóságok általi tiszteletben tartása minden esetben a Charta 8. cikkének (3) bekezdésével összhangban független ellenőrzés alá tartozik. |
| --- | --- |

(80)

Bár ezt az irányelvet a tagállami bíróságok és egyéb igazságügyi hatóságok tevékenységére is alkalmazni kell, a felügyeleti hatóságok illetékessége nem terjed ki a személyes adatok kezelésére abban az esetben, amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el, annak érdekében, hogy a bírák függetlenségének megőrzése biztosított legyen igazságszolgáltatási feladataik ellátása során. Ez a kivétel azonban a bírósági ügyekben ellátott igazságszolgáltatási tevékenységekre korlátozódik, és nem alkalmazható azokra az egyéb tevékenységekre, amelyekben a bírák esetleg a tagállami jognak megfelelően még részt vehetnek. A tagállamok azt is előírhatják, hogy a felügyeleti hatóság hatásköre nem terjed ki az olyan személyes adatok kezelésre, amelyet az egyéb független igazságügyi hatóságok – például az ügyészségek – igazságszolgáltatási feladatkörükben eljárva végeznek. Mindenesetre, az ezen irányelvben foglalt szabályoknak a bíróságok és egyéb független igazságügyi hatóságok általi tiszteletben tartása minden esetben a Charta 8. cikkének (3) bekezdésével összhangban független ellenőrzés alá tartozik.

| (81) | A felügyeleti hatóság bármely érintett által benyújtott panasszal kapcsolatban eljár, és kivizsgálja az ügyet vagy átadja azt az illetékes felügyeleti hatóságnak. A panaszt követő vizsgálatot – amely bírósági felülvizsgálat tárgyát képzi – a konkrét esethez szükséges mértékben kell lefolytatni. A felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panasszal kapcsolatos fejleményekről és eredményekről. Ha az ügy további vizsgálatot vagy egy másik felügyeleti hatóság együttműködését teszi szükségessé, az érintett számára időközben tájékoztatást kell nyújtani. |
| --- | --- |

(81)

A felügyeleti hatóság bármely érintett által benyújtott panasszal kapcsolatban eljár, és kivizsgálja az ügyet vagy átadja azt az illetékes felügyeleti hatóságnak. A panaszt követő vizsgálatot – amely bírósági felülvizsgálat tárgyát képzi – a konkrét esethez szükséges mértékben kell lefolytatni. A felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panasszal kapcsolatos fejleményekről és eredményekről. Ha az ügy további vizsgálatot vagy egy másik felügyeleti hatóság együttműködését teszi szükségessé, az érintett számára időközben tájékoztatást kell nyújtani.

| (82) | Annak érdekében, hogy a Bíróság által értelmezett EUMSZ-nek megfelelően az Unió egészében hatékonyan, megbízhatóan és következetesen nyomon lehessen követni ezen irányelv végrehajtását és az ezen irányelvnek való megfelelést, a felügyeleti hatóságokat a tagállamokban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni, ideértve a feladatok elvégzéséhez szükséges vizsgálati, korrekciós és tanácsadási hatáskört. E hatóságok hatáskörei ugyanakkor nem sérthetik a büntetőeljárásokra vonatkozó – ezen belül a bűncselekmények nyomozására és üldözésére – különös szabályokat, illetve az igazságszolgáltatás függetlenségét. Az ügyészségek tagállami jogban biztosított hatásköreinek tiszteletben tartása mellett a felügyeleti hatóságokat is fel kell jogosítani arra, hogy ezen irányelv megsértése esetén az igazságügyi hatóságokhoz forduljanak vagy bírósági eljárást kezdeményezzenek. A felügyeleti hatóságok hatásköreiket az uniós és a tagállami jogban meghatározott megfelelő eljárási garanciákkal összhangban, pártatlanul, tisztességesen és észszerű határidőn belül kell, hogy gyakorolják. Különösképpen, az ezen irányelvnek való megfelelés biztosítása érdekében minden egyes intézkedésnek megfelelőnek, szükségesnek és arányosnak kell lennie, és azok kapcsán figyelembe kell venni az adott eset körülményeit, tiszteletben kell tartani azt, hogy minden személynek joga van ahhoz, hogy az őt esetleg hátrányosan érintő egyedi intézkedés meghozatala előtt meghallgassák, továbbá kerülni kell, hogy az intézkedés az érintett személynek felesleges költségeket és túlzott kényelmetlenséget okozzon. A helyiségekbe való belépést illetően a vizsgálati hatáskört a tagállami jogban előírt vonatkozó követelményekkel összhangban kell gyakorolni, ilyen például az előzetes bírói engedély beszerzésének követelménye. A jogilag kötelező erejű döntések bírósági felülvizsgálatnak vethetők az adott döntést elfogadó felügyeleti hatóság tagállamában. |
| --- | --- |

(82)

Annak érdekében, hogy a Bíróság által értelmezett EUMSZ-nek megfelelően az Unió egészében hatékonyan, megbízhatóan és következetesen nyomon lehessen követni ezen irányelv végrehajtását és az ezen irányelvnek való megfelelést, a felügyeleti hatóságokat a tagállamokban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni, ideértve a feladatok elvégzéséhez szükséges vizsgálati, korrekciós és tanácsadási hatáskört. E hatóságok hatáskörei ugyanakkor nem sérthetik a büntetőeljárásokra vonatkozó – ezen belül a bűncselekmények nyomozására és üldözésére – különös szabályokat, illetve az igazságszolgáltatás függetlenségét. Az ügyészségek tagállami jogban biztosított hatásköreinek tiszteletben tartása mellett a felügyeleti hatóságokat is fel kell jogosítani arra, hogy ezen irányelv megsértése esetén az igazságügyi hatóságokhoz forduljanak vagy bírósági eljárást kezdeményezzenek. A felügyeleti hatóságok hatásköreiket az uniós és a tagállami jogban meghatározott megfelelő eljárási garanciákkal összhangban, pártatlanul, tisztességesen és észszerű határidőn belül kell, hogy gyakorolják. Különösképpen, az ezen irányelvnek való megfelelés biztosítása érdekében minden egyes intézkedésnek megfelelőnek, szükségesnek és arányosnak kell lennie, és azok kapcsán figyelembe kell venni az adott eset körülményeit, tiszteletben kell tartani azt, hogy minden személynek joga van ahhoz, hogy az őt esetleg hátrányosan érintő egyedi intézkedés meghozatala előtt meghallgassák, továbbá kerülni kell, hogy az intézkedés az érintett személynek felesleges költségeket és túlzott kényelmetlenséget okozzon. A helyiségekbe való belépést illetően a vizsgálati hatáskört a tagállami jogban előírt vonatkozó követelményekkel összhangban kell gyakorolni, ilyen például az előzetes bírói engedély beszerzésének követelménye. A jogilag kötelező erejű döntések bírósági felülvizsgálatnak vethetők az adott döntést elfogadó felügyeleti hatóság tagállamában.

| (83) | A felügyeleti hatóságok feladataik ellátásában segítik egymást, és kölcsönös segítséget nyújtanak egymásnak annak érdekében, hogy a belső piacon biztosítsák ezen irányelv alapján elfogadott rendelkezések egységes alkalmazását és végrehajtását. |
| --- | --- |

(83)

A felügyeleti hatóságok feladataik ellátásában segítik egymást, és kölcsönös segítséget nyújtanak egymásnak annak érdekében, hogy a belső piacon biztosítsák ezen irányelv alapján elfogadott rendelkezések egységes alkalmazását és végrehajtását.

| (84) | A Testület az Unió egész területén hozzájárul ezen irányelv következetes alkalmazásához, ideértve a Bizottság részére történő tanácsadást és a felügyeleti hatóságok közötti, Unión belüli együttműködés előmozdítását is. |
| --- | --- |

(84)

A Testület az Unió egész területén hozzájárul ezen irányelv következetes alkalmazásához, ideértve a Bizottság részére történő tanácsadást és a felügyeleti hatóságok közötti, Unión belüli együttműködés előmozdítását is.

| (85) | Minden érintett jogosult, hogy panaszt tegyen egyetlen felügyeleti hatóságnál, és a Charta 47. cikkével összhangban hatékony bírósági jogorvoslattal éljen, ha az érintett úgy ítéli meg, hogy az ezen irányelv alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges. A panaszt követően vizsgálatot kell lefolytatni – amely bírósági felülvizsgálat tárgyát képezheti – a konkrét esethez szükséges mértékben. Az illetékes felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panaszhoz fűződő fejleményekről és eredményekről. Ha az ügy további vizsgálatot vagy egy másik felügyeleti hatósággal való együttműködést tesz szükségessé, az érintett számára időközben tájékoztatást kell nyújtani. A panaszok benyújtásának megkönnyítése érdekében a felügyeleti hatóság intézkedéseket hoz, például olyan panasz benyújtására szolgáló formanyomtatványt biztosít, amely elektronikus úton is kitölthető, nem zárva ki azonban más kommunikációs eszközök alkalmazását sem. |
| --- | --- |

(85)

Minden érintett jogosult, hogy panaszt tegyen egyetlen felügyeleti hatóságnál, és a Charta 47. cikkével összhangban hatékony bírósági jogorvoslattal éljen, ha az érintett úgy ítéli meg, hogy az ezen irányelv alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges. A panaszt követően vizsgálatot kell lefolytatni – amely bírósági felülvizsgálat tárgyát képezheti – a konkrét esethez szükséges mértékben. Az illetékes felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panaszhoz fűződő fejleményekről és eredményekről. Ha az ügy további vizsgálatot vagy egy másik felügyeleti hatósággal való együttműködést tesz szükségessé, az érintett számára időközben tájékoztatást kell nyújtani. A panaszok benyújtásának megkönnyítése érdekében a felügyeleti hatóság intézkedéseket hoz, például olyan panasz benyújtására szolgáló formanyomtatványt biztosít, amely elektronikus úton is kitölthető, nem zárva ki azonban más kommunikációs eszközök alkalmazását sem.

| (86) | Minden természetes vagy jogi személy számára biztosítani kell, hogy a valamely felügyeleti hatóság által hozott és az említett természetes vagy jogi személyekre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróság előtt. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal ez a jog nem vonatkozik a felügyeleti hatóságok egyéb, jogilag kötelező erővel nem bíró intézkedéseire, például a felügyeleti hatóság által kibocsátott véleményekre vagy általa adott tanácsokra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást a tagállami jog szerint kell lefolytatni. Ezek a bíróságok teljes körű joghatósággal rendelkeznek, amely magában foglalja a tárgyalt jogvita szempontjából releváns összes ténybeli és jogi körülmény vizsgálatát. |
| --- | --- |

(86)

Minden természetes vagy jogi személy számára biztosítani kell, hogy a valamely felügyeleti hatóság által hozott és az említett természetes vagy jogi személyekre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróság előtt. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal ez a jog nem vonatkozik a felügyeleti hatóságok egyéb, jogilag kötelező erővel nem bíró intézkedéseire, például a felügyeleti hatóság által kibocsátott véleményekre vagy általa adott tanácsokra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást a tagállami jog szerint kell lefolytatni. Ezek a bíróságok teljes körű joghatósággal rendelkeznek, amely magában foglalja a tárgyalt jogvita szempontjából releváns összes ténybeli és jogi körülmény vizsgálatát.

| (87) | Ha az érintett úgy ítéli meg, hogy az ezen irányelv értelmében fennálló jogait megsértették, jogosult megbízni egy – az érintetteknek a személyes adataik védelmével kapcsolatos jogait és érdekeit védeni hivatott –, a tagállami jognak megfelelően létrehozott szervet, hogy az a nevében eljárva panaszt tegyen valamely felügyeleti hatóságnál, és éljen a bírósági jogorvoslathoz való jogával. Az érintettek képviselethez való joga nem sértheti a tagállami eljárásjogot, amely előírhatja, hogy érintetteket kötelezően a tagállami bíróságok előtt a 77/249/EGK tanácsi irányelvben (10) foglalt fogalommeghatározás szerinti ügyvéd képviselje. |
| --- | --- |

(87)

Ha az érintett úgy ítéli meg, hogy az ezen irányelv értelmében fennálló jogait megsértették, jogosult megbízni egy – az érintetteknek a személyes adataik védelmével kapcsolatos jogait és érdekeit védeni hivatott –, a tagállami jognak megfelelően létrehozott szervet, hogy az a nevében eljárva panaszt tegyen valamely felügyeleti hatóságnál, és éljen a bírósági jogorvoslathoz való jogával. Az érintettek képviselethez való joga nem sértheti a tagállami eljárásjogot, amely előírhatja, hogy érintetteket kötelezően a tagállami bíróságok előtt a 77/249/EGK tanácsi irányelvben (10) foglalt fogalommeghatározás szerinti ügyvéd képviselje.

| (88) | Az ezen irányelv alapján elfogadott rendelkezéseket sértő adatkezelés miatt felmerült kárt az adatkezelő vagy a tagállami jog szerint illetékes más hatóság megtéríti a kárt szenvedett személynek. A kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze ezen irányelv céljait. Ez nem érinti az uniós vagy tagállami jog egyéb szabályainak megsértéséből eredő károkkal kapcsolatos esetleges kártérítési igényeket. Ahol ez az irányelv jogszerűtlen vagy az ezen irányelv alapján elfogadott rendelkezéseit sértő adatkezelést említ, azon az ezen irányelvvel összhangban elfogadott végrehajtási jogi aktusoknak nem megfelelő adatkezelést is érteni kell. Az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg. |
| --- | --- |

(88)

Az ezen irányelv alapján elfogadott rendelkezéseket sértő adatkezelés miatt felmerült kárt az adatkezelő vagy a tagállami jog szerint illetékes más hatóság megtéríti a kárt szenvedett személynek. A kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze ezen irányelv céljait. Ez nem érinti az uniós vagy tagállami jog egyéb szabályainak megsértéséből eredő károkkal kapcsolatos esetleges kártérítési igényeket. Ahol ez az irányelv jogszerűtlen vagy az ezen irányelv alapján elfogadott rendelkezéseit sértő adatkezelést említ, azon az ezen irányelvvel összhangban elfogadott végrehajtási jogi aktusoknak nem megfelelő adatkezelést is érteni kell. Az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg.

| (89) | Szankciót kell kiróni minden olyan természetes vagy jogi személyre – függetlenül attól, hogy a magánjog vagy a közjog hatálya alá tartozik-e –, aki, illetve amely megsérti ezt az irányelvet. A tagállamoknak biztosítaniuk kell hogy a szankciók hatékonyak, arányosak és visszatartó erejűek legyenek, és meg kell hozniuk minden szükséges intézkedést ezek végrehajtására. |
| --- | --- |

(89)

Szankciót kell kiróni minden olyan természetes vagy jogi személyre – függetlenül attól, hogy a magánjog vagy a közjog hatálya alá tartozik-e –, aki, illetve amely megsérti ezt az irányelvet. A tagállamoknak biztosítaniuk kell hogy a szankciók hatékonyak, arányosak és visszatartó erejűek legyenek, és meg kell hozniuk minden szükséges intézkedést ezek végrehajtására.

| (90) | Ezen irányelv végrehajtása egységes feltételeinek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni a következőkre vonatkozóan: a harmadik ország vagy a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szint, a kölcsönös segítségnyújtás formátuma és eljárásai, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályok. Ezeket a végrehajtási hatásköröket a 182/2011/EU európai parlamenti és tanácsi rendeletnek megfelelően kell gyakorolni (11). |
| --- | --- |

(90)

Ezen irányelv végrehajtása egységes feltételeinek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni a következőkre vonatkozóan: a harmadik ország vagy a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szint, a kölcsönös segítségnyújtás formátuma és eljárásai, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályok. Ezeket a végrehajtási hatásköröket a 182/2011/EU európai parlamenti és tanácsi rendeletnek megfelelően kell gyakorolni (11).

| (91) | A vizsgálóbizottsági eljárást kell alkalmazni a harmadik ország vagy a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szintről, a kölcsönös segítségnyújtás formátumáról és eljárásairól, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályokról szóló végrehajtási jogi aktusok elfogadására, mivel ezek a jogi aktusok általános hatállyal bírnak. |
| --- | --- |

(91)

A vizsgálóbizottsági eljárást kell alkalmazni a harmadik ország vagy a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szintről, a kölcsönös segítségnyújtás formátumáról és eljárásairól, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályokról szóló végrehajtási jogi aktusok elfogadására, mivel ezek a jogi aktusok általános hatállyal bírnak.

| (92) | A Bizottságnak azonnal alkalmazandó végrehajtási jogi aktusokat kell elfogadnia, ha kellően indokolt esetben ez rendkívül sürgős okból szükséges, amikor a harmadik ország, annak valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő védelmi szintet. |
| --- | --- |

(92)

A Bizottságnak azonnal alkalmazandó végrehajtási jogi aktusokat kell elfogadnia, ha kellően indokolt esetben ez rendkívül sürgős okból szükséges, amikor a harmadik ország, annak valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő védelmi szintet.

| (93) | Mivel ezen irányelv céljait, nevezetesen az érintettek alapvető jogainak és szabadságainak – különösen a személyes adatok védelméhez való joguknak – megóvását, valamint annak biztosítását, hogy az Unión belül az illetékes hatóságok a személyes adatokat szabadon cserélhessék, a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés terjedelme vagy hatása miatt e célok jobban megvalósíthatók, az Unió intézkedéseket hozhat az EUSZ 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ezen irányelv nem lépi túl az e célok eléréséhez szükséges mértéket. |
| --- | --- |

(93)

Mivel ezen irányelv céljait, nevezetesen az érintettek alapvető jogainak és szabadságainak – különösen a személyes adatok védelméhez való joguknak – megóvását, valamint annak biztosítását, hogy az Unión belül az illetékes hatóságok a személyes adatokat szabadon cserélhessék, a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés terjedelme vagy hatása miatt e célok jobban megvalósíthatók, az Unió intézkedéseket hozhat az EUSZ 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ezen irányelv nem lépi túl az e célok eléréséhez szükséges mértéket.

| (94) | A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén az ezen irányelv elfogadásának időpontját megelőzően elfogadott olyan jogi aktusok bizonyos rendelkezései, amelyek a személyes adatok tagállamok közötti kezelését és a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott, ezen irányelv hatálya alá tartozó információs rendszerekhez való hozzáférését szabályozzák, változatlanul hatályban maradnak, ideértve például a 2008/615/IB tanácsi határozat (12) alapján a személyes adatok védelmére vonatkozóan alkalmazott különös rendelkezéseket, illetve az Unió tagállamai közötti kölcsönös bűnügyi jogsegélyegyezmény (13) 23. cikkét. Mivel a Charta 8. cikke és az EUMSZ 16. cikke előírja, hogy a személyes adatok védelméhez való alapvető jogot az Unió egész területén következetesen biztosítani kell, a Bizottság megvizsgálja, hogy az ezen irányelv és az elfogadásának időpontját megelőzően elfogadott – a személyes adatok tagállamok közötti kezelését vagy a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott információs rendszerekhez való hozzáférését szabályozó – jogi aktusok egymáshoz való viszonyának fényében szükséges-e ezeket a rendelkezéseket ehhez az irányelvhez igazítani. Ha szükséges, a Bizottság javaslatokat nyújt be annak biztosítása érdekében, hogy egységes jogi normák szabályozzák a személyes adatok kezelését. |
| --- | --- |

(94)

A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén az ezen irányelv elfogadásának időpontját megelőzően elfogadott olyan jogi aktusok bizonyos rendelkezései, amelyek a személyes adatok tagállamok közötti kezelését és a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott, ezen irányelv hatálya alá tartozó információs rendszerekhez való hozzáférését szabályozzák, változatlanul hatályban maradnak, ideértve például a 2008/615/IB tanácsi határozat (12) alapján a személyes adatok védelmére vonatkozóan alkalmazott különös rendelkezéseket, illetve az Unió tagállamai közötti kölcsönös bűnügyi jogsegélyegyezmény (13) 23. cikkét. Mivel a Charta 8. cikke és az EUMSZ 16. cikke előírja, hogy a személyes adatok védelméhez való alapvető jogot az Unió egész területén következetesen biztosítani kell, a Bizottság megvizsgálja, hogy az ezen irányelv és az elfogadásának időpontját megelőzően elfogadott – a személyes adatok tagállamok közötti kezelését vagy a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott információs rendszerekhez való hozzáférését szabályozó – jogi aktusok egymáshoz való viszonyának fényében szükséges-e ezeket a rendelkezéseket ehhez az irányelvhez igazítani. Ha szükséges, a Bizottság javaslatokat nyújt be annak biztosítása érdekében, hogy egységes jogi normák szabályozzák a személyes adatok kezelését.

| (95) | Annak érdekében, hogy a személyes adatok átfogó és következetes védelme biztosított legyen az Unióban, azok a nemzetközi megállapodások, amelyeket a tagállamok ezen irányelv hatálybalépésének napját megelőzően kötöttek, és amelyek megfelelnek az ezen időpont előtt alkalmazandó vonatkozó uniós jognak, módosításukig, felváltásukig vagy visszavonásukig hatályban maradnak. |
| --- | --- |

(95)

Annak érdekében, hogy a személyes adatok átfogó és következetes védelme biztosított legyen az Unióban, azok a nemzetközi megállapodások, amelyeket a tagállamok ezen irányelv hatálybalépésének napját megelőzően kötöttek, és amelyek megfelelnek az ezen időpont előtt alkalmazandó vonatkozó uniós jognak, módosításukig, felváltásukig vagy visszavonásukig hatályban maradnak.

| (96) | A tagállamok számára ezen irányelv átültetésére ezen irányelv hatálybalépésének napjától számított két éves időszakot meg nem haladó időtartamot kell előírni. A hatálybalépés napján már folyamatban lévő adatkezelést ezen irányelv hatálybalépésének időpontjától számított két éven belül összhangba kell hozni ezen irányelvvel. Mindazonáltal az ezen irányelv hatálybalépésének napja előtt az alkalmazandó uniós jognak megfelelő adatkezelés esetében az ezen irányelvben foglalt, a felügyeleti hatósággal folytatott előzetes konzultációra vonatkozó előírásokat nem kell alkalmazni az említett időpontban már folyamatban lévő adatkezelésre, tekintettel arra, hogy ezeket a követelményeket természetüknél fogva már az adatkezelés megkezdése előtt teljesíteni kell. Ha a tagállamok élnek a hosszabb végrehajtási időtartam lehetőségével, és az ezen irányelv hatálybalépése előtt létesített automatizált adatkezelési rendszerek tekintetében az ezen irányelv hatálybalépésének napjától számított hét éven belül tesznek eleget a naplózási kötelezettségnek, az adatkezelőnek vagy az adatfeldolgozónak az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és adatbiztonságának szavatolására, például naplók vagy más nyilvántartások formájában, hatékony módszereket kell alkalmaznia. |
| --- | --- |

(96)

A tagállamok számára ezen irányelv átültetésére ezen irányelv hatálybalépésének napjától számított két éves időszakot meg nem haladó időtartamot kell előírni. A hatálybalépés napján már folyamatban lévő adatkezelést ezen irányelv hatálybalépésének időpontjától számított két éven belül összhangba kell hozni ezen irányelvvel. Mindazonáltal az ezen irányelv hatálybalépésének napja előtt az alkalmazandó uniós jognak megfelelő adatkezelés esetében az ezen irányelvben foglalt, a felügyeleti hatósággal folytatott előzetes konzultációra vonatkozó előírásokat nem kell alkalmazni az említett időpontban már folyamatban lévő adatkezelésre, tekintettel arra, hogy ezeket a követelményeket természetüknél fogva már az adatkezelés megkezdése előtt teljesíteni kell. Ha a tagállamok élnek a hosszabb végrehajtási időtartam lehetőségével, és az ezen irányelv hatálybalépése előtt létesített automatizált adatkezelési rendszerek tekintetében az ezen irányelv hatálybalépésének napjától számított hét éven belül tesznek eleget a naplózási kötelezettségnek, az adatkezelőnek vagy az adatfeldolgozónak az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és adatbiztonságának szavatolására, például naplók vagy más nyilvántartások formájában, hatékony módszereket kell alkalmaznia.

| (97) | Ez az irányelv nem sértheti a gyermekek szexuális bántalmazása, szexuális kizsákmányolása és a gyermekpornográfia elleni küzdelemre vonatkozóan a 2011/93/EU európai parlamenti és tanácsi irányelvben (14) megállapított rendelkezéseket. |
| --- | --- |

(97)

Ez az irányelv nem sértheti a gyermekek szexuális bántalmazása, szexuális kizsákmányolása és a gyermekpornográfia elleni küzdelemre vonatkozóan a 2011/93/EU európai parlamenti és tanácsi irányelvben (14) megállapított rendelkezéseket.

| (98) | A 2008/977/IB kerethatározatot ezért hatályon kívül kell helyezni. |
| --- | --- |

(98)

A 2008/977/IB kerethatározatot ezért hatályon kívül kell helyezni.

| (99) | Az EUSZ-hez és az EUMSZ-hez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló 21. jegyzőkönyv 6a. cikkével összhangban az Egyesült Királyságot és Írországot nem kötelezik az ezen irányelvben meghatározott azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezetének alkalmazási körébe tartozó tevékenységek során végzett kezelésére vonatkoznak, amennyiben az Egyesült Királyságot vagy Írországot nem kötelezik a büntetőügyekben folytatott igazságügyi együttműködés vagy a rendőrségi együttműködés formáira vonatkozó olyan szabályok, amelyek megkívánják az EUMSZ 16. cikk alapján meghatározott rendelkezések betartását. |
| --- | --- |

(99)

Az EUSZ-hez és az EUMSZ-hez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló 21. jegyzőkönyv 6a. cikkével összhangban az Egyesült Királyságot és Írországot nem kötelezik az ezen irányelvben meghatározott azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezetének alkalmazási körébe tartozó tevékenységek során végzett kezelésére vonatkoznak, amennyiben az Egyesült Királyságot vagy Írországot nem kötelezik a büntetőügyekben folytatott igazságügyi együttműködés vagy a rendőrségi együttműködés formáira vonatkozó olyan szabályok, amelyek megkívánják az EUMSZ 16. cikk alapján meghatározott rendelkezések betartását.

| (100) | Az EUSZ-hez és az EUMSZ-hez csatolt, Dánia helyzetéről szóló 22. jegyzőkönyv 2. és 2a. cikkével összhangban Dániára nézve nem kötelezőek és nem alkalmazandóak az ezen irányelvben megállapított azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezete alkalmazási körébe tartozó tevékenységek során végzett kezelésére vonatkoznak. Mivel ez az irányelv az EUMSZ harmadik része V. címének értelmében a schengeni vívmányokon alapul, Dánia az említett jegyzőkönyv 4. cikkének megfelelően az ezen irányelv elfogadását követő hat hónapon belül dönt arról, hogy azt nemzeti jogában végrehajtja-e. |
| --- | --- |

(100)

Az EUSZ-hez és az EUMSZ-hez csatolt, Dánia helyzetéről szóló 22. jegyzőkönyv 2. és 2a. cikkével összhangban Dániára nézve nem kötelezőek és nem alkalmazandóak az ezen irányelvben megállapított azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezete alkalmazási körébe tartozó tevékenységek során végzett kezelésére vonatkoznak. Mivel ez az irányelv az EUMSZ harmadik része V. címének értelmében a schengeni vívmányokon alapul, Dánia az említett jegyzőkönyv 4. cikkének megfelelően az ezen irányelv elfogadását követő hat hónapon belül dönt arról, hogy azt nemzeti jogában végrehajtja-e.

| (101) | Izland és Norvégia tekintetében ez az irányelv az Európai Unió Tanácsa, valamint az Izlandi Köztársaság és a Norvég Királyság között kötött, e két államnak a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodás (15) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi. |
| --- | --- |

(101)

Izland és Norvégia tekintetében ez az irányelv az Európai Unió Tanácsa, valamint az Izlandi Köztársaság és a Norvég Királyság között kötött, e két államnak a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodás (15) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi.

| (102) | Svájc tekintetében ez az irányelv az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról kötött megállapodás (16) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi. |
| --- | --- |

(102)

Svájc tekintetében ez az irányelv az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról kötött megállapodás (16) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi.

| (103) | Liechtenstein tekintetében ez az irányelv az Európai Unió, az Európai Közösség, a Svájci Államszövetség és a Liechtensteini Hercegség közötti, a Liechtensteini Hercegségnek az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodáshoz való csatlakozásáról szóló jegyzőkönyv (17) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi. |
| --- | --- |

(103)

Liechtenstein tekintetében ez az irányelv az Európai Unió, az Európai Közösség, a Svájci Államszövetség és a Liechtensteini Hercegség közötti, a Liechtensteini Hercegségnek az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodáshoz való csatlakozásáról szóló jegyzőkönyv (17) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi.

| (104) | Ezen irányelv tiszteletben tartja az alapvető jogokat és betartja a Charta által elismert, az EUMSZ-ben rögzített elveket, különösen a magán- és a családi élet tiszteletben tartásához való jogot, a személyes adatok védelméhez való jogot, a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jogot. Az e jogokat érintő korlátozások összhangban vannak a Charta 52. cikkének (1) bekezdésével, mivel elengedhetetlenek az Unió által elismert általános érdekű célok megvalósításához, vagy mások jogainak és szabadságainak védelmét szolgálják. |
| --- | --- |

(104)

Ezen irányelv tiszteletben tartja az alapvető jogokat és betartja a Charta által elismert, az EUMSZ-ben rögzített elveket, különösen a magán- és a családi élet tiszteletben tartásához való jogot, a személyes adatok védelméhez való jogot, a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jogot. Az e jogokat érintő korlátozások összhangban vannak a Charta 52. cikkének (1) bekezdésével, mivel elengedhetetlenek az Unió által elismert általános érdekű célok megvalósításához, vagy mások jogainak és szabadságainak védelmét szolgálják.

| (105) | A tagállamok és a Bizottság magyarázó dokumentumokról szóló, 2011. szeptember 28-i együttes politikai nyilatkozatával összhangban a tagállamok vállalták, hogy az átültető intézkedéseikről szóló értesítéshez indokolt esetben egy vagy több olyan dokumentumot mellékelnek, amely megmagyarázza ezen irányelv elemei és az azt átültető nemzeti intézkedések megfelelő részei közötti kapcsolatot. Ezen irányelv tekintetében a jogalkotó úgy ítéli meg, hogy ilyen dokumentumok átadása indokolt. |
| --- | --- |

(105)

A tagállamok és a Bizottság magyarázó dokumentumokról szóló, 2011. szeptember 28-i együttes politikai nyilatkozatával összhangban a tagállamok vállalták, hogy az átültető intézkedéseikről szóló értesítéshez indokolt esetben egy vagy több olyan dokumentumot mellékelnek, amely megmagyarázza ezen irányelv elemei és az azt átültető nemzeti intézkedések megfelelő részei közötti kapcsolatot. Ezen irányelv tekintetében a jogalkotó úgy ítéli meg, hogy ilyen dokumentumok átadása indokolt.

| (106) | Az európai adatvédelmi biztossal való konzultáció a 45/2001/EK rendelet 28. cikkének (2) bekezdésével összhangban megtörtént; a biztos 2012. március 7-én (18) nyilvánított véleményt. |
| --- | --- |

(106)

Az európai adatvédelmi biztossal való konzultáció a 45/2001/EK rendelet 28. cikkének (2) bekezdésével összhangban megtörtént; a biztos 2012. március 7-én (18) nyilvánított véleményt.

| (107) | Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy nemzeti büntetőeljárási szabályaikban rendelkezzenek az érintetteket a büntetőeljárás során megillető tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez és az adatkezelés korlátozásához fűződő jog gyakorlásáról, valamint ezek esetleges korlátozásáról, |
| --- | --- |

(107)

Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy nemzeti büntetőeljárási szabályaikban rendelkezzenek az érintetteket a büntetőeljárás során megillető tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez és az adatkezelés korlátozásához fűződő jog gyakorlásáról, valamint ezek esetleges korlátozásáról,

ELFOGADTA EZT AZ IRÁNYELVET:

I. FEJEZET

Általános rendelkezések

1. cikk

Tárgy és célok

(1)   Ez az irányelv szabályokat állapít meg a természetes személyek védelmére a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett kezelése tekintetében.

(2)   A tagállamok ezen irányelvvel összhangban:

| a) | védik a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogukat, és |
| --- | --- |

a)

védik a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogukat, és

| b) | biztosítják, hogy a személyes adatok illetékes hatóságok közötti, Unión belüli cseréje – ha e cserét az uniós vagy tagállami jog írja elő – ne legyen korlátozás vagy tiltás tárgya a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból. |
| --- | --- |

b)

biztosítják, hogy a személyes adatok illetékes hatóságok közötti, Unión belüli cseréje – ha e cserét az uniós vagy tagállami jog írja elő – ne legyen korlátozás vagy tiltás tárgya a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból.

(3)   Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy az érintettek jogainak és szabadságainak védelme érdekében a személyes adatok illetékes hatóságok által végzett kezelésére az ezen irányelvben megállapítottnál magasabb védelmi szintet biztosító garanciákról rendelkezzenek.

2. cikk

Hatály

(1)   Ez az irányelv a személyes adatoknak az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból végzett kezelésére alkalmazandó.

(2)   Ezt az irányelvet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

(3)   Ezen irányelv nem alkalmazandó:

| a) | a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek során végzett kezelésére; |
| --- | --- |

a)

a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek során végzett kezelésére;

| b) | a személyes adatoknak az Unió intézményei, szervei, hivatalai és ügynökségei által végzett kezelésére. |
| --- | --- |

b)

a személyes adatoknak az Unió intézményei, szervei, hivatalai és ügynökségei által végzett kezelésére.

3. cikk

Fogalommeghatározások

Ezen irányelv alkalmazásában:

1.   „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, azonosító szám, helymeghatározó adat, online azonosító vagy a természetes személy fizikai, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

„személyes adat”

2.   „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, a közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, az összehangolás vagy összekapcsolás, korlátozás, a törlés, illetve a megsemmisítés;

„adatkezelés”

3.   „az adatkezelés korlátozása”: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából;

„az adatkezelés korlátozása”

4.   „profilalkotás”: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz vagy érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják;

„profilalkotás”

5.   „álnevesítés”: a személyes adatok olyan módon történő kezelése, amelynek következtében további információ felhasználása nélkül a továbbiakban már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve, hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azt azonosított vagy azonosítható természetes személyhez többé nem lehet kapcsolni;

„álnevesítés”

6.   „nyilvántartási rendszer”: a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető;

„nyilvántartási rendszer”

7.   „illetékes hatóság”:

„illetékes hatóság”

| a) | olyan közhatalmi szerv, amely a bűncselekmények megelőzését, nyomozását, felderítését vagy üldözését, illetve büntetőjogi szankciók végrehajtását illetően eljárni jogosult beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; vagy |
| --- | --- |

a)

olyan közhatalmi szerv, amely a bűncselekmények megelőzését, nyomozását, felderítését vagy üldözését, illetve büntetőjogi szankciók végrehajtását illetően eljárni jogosult beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; vagy

| b) | bármely egyéb, olyan szerv vagy más jogalany, amely a tagállami jog alapján közfeladatokat lát el és közhatalmi jogosítványokat gyakorol a bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása céljából, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; |
| --- | --- |

b)

bármely egyéb, olyan szerv vagy más jogalany, amely a tagállami jog alapján közfeladatokat lát el és közhatalmi jogosítványokat gyakorol a bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása céljából, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését;

8.   „adatkezelő”: az az illetékes hatóság, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az ilyen adatkezelés céljait és eszközeit az uniós vagy tagállami jog határozza meg, az adatkezelőt vagy a kijelölésre vonatkozó különös szempontokat az uniós vagy tagállami jog is meghatározhatja;

„adatkezelő”

9.   „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely más szerv, amely az adatkezelő nevében személyes adatokat kezel;

„adatfeldolgozó”

10.   „címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely más szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Nem tekintendők azonban címzettnek azok a közhatalmi szervek, amelyek egy egyedi vizsgálat keretében a tagállami joggal összhangban kaphatnak személyes adatot, és az említett adatok e közhatalmi szervek általi kezelése során az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályokat be kell tartani;

„címzett”

11.   „adatvédelmi incidens”: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, módosítását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi;

„adatvédelmi incidens”

12.   „genetikai adat”: egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó minden olyan személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozóegyedi információt hordoz, és amely elsősorban az adott természetes személyből vett biológiai minta elemzéséből ered;

„genetikai adat”

13.   „biometrikus adat”: egy természetes személy fizikai, fiziológiai vagy viselkedési jellemzői vonatkozó olyan, sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat;

„biometrikus adat”

14.   „egészségügyi adat”: egy természetes személy testi vagy szellemi egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról;

„egészségügyi adat”

15.   „felügyeleti hatóság”: a tagállam által a 41. cikk alapján létrehozott független közhatalmi szerv;

„felügyeleti hatóság”

16.   „nemzetközi szervezet”: a nemzetközi közjog hatálya alá tartozó szervezet vagy annak alárendelt szervei, vagy olyan egyéb szerv, amelyet két vagy több állam közötti megállapodás hozott létre vagy amely ilyen megállapodás alapján jött létre.

„nemzetközi szervezet”

II. FEJEZET

Elvek

4. cikk

A személyes adatok kezelésére vonatkozó elvek

(1)   A tagállamok előírják, hogy a személyes adatok:

| a) | kezelését jogszerűen és tisztességesen kell végezni; |
| --- | --- |

a)

kezelését jogszerűen és tisztességesen kell végezni;

| b) | gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; |
| --- | --- |

b)

gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon;

| c) | az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és szükségesre kell korlátozódniuk; |
| --- | --- |

c)

az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és szükségesre kell korlátozódniuk;

| d) | pontosnak és ahol szükséges, naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék; |
| --- | --- |

d)

pontosnak és ahol szükséges, naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék;

| e) | tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; |
| --- | --- |

e)

tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé;

| f) | kezelését oly módon kell végezni, hogy a megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve. |
| --- | --- |

f)

kezelését oly módon kell végezni, hogy a megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.

(2)   Az azonos vagy más adatkezelő által az 1. cikk (1) bekezdésében meghatározott, de a személyes adatok gyűjtésének céljától eltérő célból végzett adatkezelés akkor megengedett, ha:

| a) | az adatkezelő az uniós vagy tagállami joggal összhangban jogosult az említett személyes adatokat az említett célból kezelni, és |
| --- | --- |

a)

az adatkezelő az uniós vagy tagállami joggal összhangban jogosult az említett személyes adatokat az említett célból kezelni, és

| b) | az adatkezelés az uniós vagy tagállami joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos. |
| --- | --- |

b)

az adatkezelés az uniós vagy tagállami joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos.

(3)   Az azonos vagy más adatkezelő által végzett adatkezelésbe beletartozhat az 1. cikk (1) bekezdésében meghatározott célból történő közérdekű archiválás, tudományos, statisztikai vagy történelmi felhasználás is, feltéve, hogy az érintettek jogaira és szabadságaira megfelelő garanciákat alkalmaznak.

(4)   Az adatkezelő felel az (1), (2) és (3) bekezdésnek való megfelelésért, és képesnek kell lennie a megfelelés bizonyítására.

5. cikk

A tárolásra és a felülvizsgálatra vonatkozó határidők

A tagállamok megfelelő határidőket állapítanak meg a személyes adatok törlésére vagy tárolásuk szükségességének rendszeres felülvizsgálatára. E határidők betartását eljárásjogi intézkedésekkel kell biztosítani.

6. cikk

Az érintettek különböző kategóriái közötti különbségtétel

A tagállamok előírják az adatkezelő számára, hogy adott esetben és amennyire lehetséges, tegyen világos különbséget az érintettek különböző kategóriáinak személyes adatai között az alábbiak szerint:

| a) | olyan személyek, akik tekintetében alapos okkal feltételezhető, hogy bűncselekményt követtek el vagy készülnek elkövetni; |
| --- | --- |

a)

olyan személyek, akik tekintetében alapos okkal feltételezhető, hogy bűncselekményt követtek el vagy készülnek elkövetni;

| b) | bűncselekmény elkövetéséért elítélt személyek; |
| --- | --- |

b)

bűncselekmény elkövetéséért elítélt személyek;

| c) | bűncselekmény áldozatai, illetve olyan személyek, akikről bizonyos tények alapján okkal feltételezhető, hogy bűncselekmény áldozatai lehetnek, és |
| --- | --- |

c)

bűncselekmény áldozatai, illetve olyan személyek, akikről bizonyos tények alapján okkal feltételezhető, hogy bűncselekmény áldozatai lehetnek, és

| d) | a bűncselekmény kapcsán érintett egyéb felek, például olyan személyek, akik a bűncselekményekkel kapcsolatos nyomozás vagy az azt követő büntetőeljárás során felszólíthatók vallomástételre, bűncselekményről információval szolgálhatnak, vagy az a) és b) pontban említett személyekkel kapcsolatban vannak vagy e személyek bűntársai. |
| --- | --- |

d)

a bűncselekmény kapcsán érintett egyéb felek, például olyan személyek, akik a bűncselekményekkel kapcsolatos nyomozás vagy az azt követő büntetőeljárás során felszólíthatók vallomástételre, bűncselekményről információval szolgálhatnak, vagy az a) és b) pontban említett személyekkel kapcsolatban vannak vagy e személyek bűntársai.

7. cikk

A személyes adatok és a személyes adatok minőségének ellenőrzése közötti különbségtétel

(1)   A tagállamok előírják, hogy amennyire lehetséges, különbséget kell tenni a tényeken alapuló és a személyes értékelésen alapuló személyes adatok között.

(2)   A tagállamok az illetékes hatóságok számára előírják, hogy minden észszerű intézkedést tegyenek meg annak biztosítása érdekében, hogy a pontatlan, hiányos vagy már nem naprakész személyes adatokat ne lehessen továbbítani vagy hozzáférhetővé tenni. E célból az illetékes hatóságok a továbbítást vagy hozzáférhetővé tételt megelőzően – amennyire ez a gyakorlatban megvalósítható – ellenőrzik a személyes adatok minőségét. Amennyire lehetséges, minden személyesadat-továbbításkor csatolni kell azokat a szükséges információkat, amelyek lehetővé teszik az adatokat átvevő illetékes hatóság számára, hogy a személyes adatok pontosságát, teljességét, megbízhatóságát és naprakészségét értékelje.

(3)   Ha kiderül, hogy pontatlan személyes adatokat továbbítottak vagy a személyes adatokat jogszerűtlenül továbbították, a címzettet erről haladéktalanul értesíteni kell. Ebben az esetben a 16. cikkel összhangban a személyes adatokat helyesbíteni, törölni vagy az adatkezelést korlátozni kell.

8. cikk

Az adatkezelés jogszerűsége

(1)   A tagállamok biztosítják, hogy az adatkezelés csak akkor és kizárólag annyiban legyen jogszerű, ha és amennyiben olyan feladat ellátásához szükséges, amelyet valamely illetékes hatóság az 1. cikk (1) bekezdésében meghatározott célokból végez, és uniós vagy tagállami jog alapján történik.

(2)   Az ezen irányelv hatálya alá tartozó adatkezelést szabályozó tagállami jogban rendelkezni kell legalább az adatkezelés célkitűzéseiről, a kezelendő személyes adatokról és az adatkezelés céljairól.

9. cikk

Különös adatkezelési feltételek

(1)   Az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból gyűjtött személyes adatok az 1. cikk (1) bekezdésében meghatározottaktól eltérő célból nem kezelhetők, kivéve, ha az az ilyen adatkezelésre uniós vagy tagállami jog felhatalmazást ad. Ha személyes adatokat ilyen más célokból kezelnek, az (EU) 2016/679 rendeletet kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység keretében végzik.

(2)   Ha a tagállami jog az 1. cikk (1) bekezdésében meghatározott célokból végzett feladatoktól eltérő feladatok elvégzését írja elő az illetékes hatóságok számára, az ilyen célokból történő adatkezelésre, ideértve a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott adatkezelést is, az (EU) 2016/679 rendeletet kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység keretében végzik.

(3)   A tagállamok előírják, hogy ha a továbbító illetékes hatóságra alkalmazandó uniós vagy tagállami jog az adatkezelésre vonatkozóan különös feltételeket ír elő, a továbbító illetékes hatóság tájékoztassa a személyes adatok címzettjét, az említett feltételekről és a betartásukra vonatkozó követelményről.

(4)   A tagállamok előírják, hogy a továbbító illetékes hatóság ne alkalmazzon más tagállambeli címzettekre, illetve az EUMSZ V. címének 4. és 5. fejezete szerint létrehozott ügynökségekre, hivatalokra és szervekre a (3) bekezdés szerinti olyan feltételeket, amelyeket a továbbító illetékes hatóság szerinti tagállamon belüli hasonló adattovábbításokra sem kell alkalmazni.

10. cikk

A személyes adatok különleges kategóriáinak kezelése

A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése csak akkor megengedett, az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák mellett, ha arra feltétlenül szükség van és:

| a) | az uniós vagy tagállami jog lehetővé teszi; |
| --- | --- |

a)

az uniós vagy tagállami jog lehetővé teszi;

| b) | az érintett vagy más természetes személy létfontosságú érdekeinek védelmét szolgálja; vagy |
| --- | --- |

b)

az érintett vagy más természetes személy létfontosságú érdekeinek védelmét szolgálja; vagy

| c) | az ilyen adatkezelés olyan adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott. |
| --- | --- |

c)

az ilyen adatkezelés olyan adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott.

11. cikk

Automatizált döntéshozatal egyedi ügyekben

(1)   A tagállamok előírják, hogy az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés, amelynek joghatása az érintettre nézve hátrányos vagy őt jelentős mértékben érinti, tilos, kivéve, ha az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciákról is rendelkezik, ideértve legalább az érintett jogát arra, hogy az adatkezelőtől emberi beavatkozást kérjen.

(2)   Az e cikk (1) bekezdésében említett döntések nem alapulhatnak a személyes adatoknak a 10. cikkben említett különleges kategóriáin, kivéve, ha az érintett jogainak, szabadságainak és jogos érdekeinek védelmét megfelelő intézkedések biztosítják.

(3)   A személyes adatok 10. cikk szerinti különleges kategóriái alapján történő olyan profilalkotást, amely a természetes személyekre vonatkozóan megkülönböztetést eredményez, az uniós joggal összhangban tiltani kell.

III. FEJEZET

Az érintett jogai

12. cikk

Tájékoztatás és az érintett jogainak gyakorlására vonatkozó módok

(1)   A tagállamok előírják, hogy az adatkezelőnek megfelelő lépéseket kell hoznia annak érdekében, hogy az érintett részére az adatok kezelésére vonatkozó, a 13. cikkben említett valamennyi információt és a 11., a 14–18. és a 31. cikk szerinti bármilyen tájékoztatást tömör, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. Az információ bármilyen megfelelő módon – így elektronikus úton is – nyújtható. Az adatkezelő az információkat főszabályként a kérelem formájával megegyező formában nyújtja.

(2)   A tagállamok előírják, hogy az adatkezelőnek elő kell segítenie az érintett 11. és 14–18. cikk szerinti jogainak gyakorlását.

(3)   A tagállamok előírják, hogy az érintettet az adatkezelőnek írásban és indokolatlan késedelem nélkül tájékoztatnia kell kérelme elbírálásának fejleményeiről.

(4)   A tagállamok előírják, hogy a 13. cikk szerinti információkat, valamint a 11., a 14–18. és a 31. cikkek szerinti tájékoztatást, illetve intézkedést díjmentesen kell biztosítani, illetve meghozni. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő:

| a) | észszerű összegű díjat számíthat fel, figyelemmel a kért információ vagy tájékoztatás nyújtásával, illetve a kért intézkedés meghozatalával járó adminisztratív költségekre; vagy |
| --- | --- |

a)

észszerű összegű díjat számíthat fel, figyelemmel a kért információ vagy tájékoztatás nyújtásával, illetve a kért intézkedés meghozatalával járó adminisztratív költségekre; vagy

| b) | megtagadhatja a kérelem alapján történő intézkedést. |
| --- | --- |

b)

megtagadhatja a kérelem alapján történő intézkedést.

A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.

(5)   Ha az adatkezelőnek megalapozott kétségei vannak a 14. vagy 16. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

13. cikk

Az érintett rendelkezésére bocsátandó vagy számára nyújtandó információk

(1)   A tagállamok előírják, hogy az adatkezelőnek az érintett rendelkezésére kell bocsátania legalább az alábbi információkat:

| a) | az adatkezelő személye és elérhetőségei; |
| --- | --- |

a)

az adatkezelő személye és elérhetőségei;

| b) | adott esetben az adatvédelmi tisztviselő elérhetőségei; |
| --- | --- |

b)

adott esetben az adatvédelmi tisztviselő elérhetőségei;

| c) | a személyes adatok tervezett kezelésének célja; |
| --- | --- |

c)

a személyes adatok tervezett kezelésének célja;

| d) | panaszbenyújtási jog a felügyeleti hatóságnál és a felügyeleti hatóság elérhetőségei; |
| --- | --- |

d)

panaszbenyújtási jog a felügyeleti hatóságnál és a felügyeleti hatóság elérhetőségei;

| e) | az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását. |
| --- | --- |

e)

az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását.

(2)   Annak érdekében, hogy az érintett gyakorolni tudja jogait, a tagállamok jogszabályban rendelkeznek arról, hogy az adatkezelőnek meghatározott esetekben az (1) bekezdésben említetteken felül tájékoztatnia kell a címzettet:

| a) | az adatkezelés jogalapjáról; |
| --- | --- |

a)

az adatkezelés jogalapjáról;

| b) | a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; |
| --- | --- |

b)

a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;

| c) | adott esetben a személyes adatok címzettjeinek kategóriáiról, beleértve a harmadik országbeli címzetteket vagy a nemzetközi szervezeteket is; |
| --- | --- |

c)

adott esetben a személyes adatok címzettjeinek kategóriáiról, beleértve a harmadik országbeli címzetteket vagy a nemzetközi szervezeteket is;

| d) | szükség esetén további információkról, különösen akkor, ha az adatok gyűjtésére az érintett tudomása nélkül került sor. |
| --- | --- |

d)

szükség esetén további információkról, különösen akkor, ha az adatok gyűjtésére az érintett tudomása nélkül került sor.

(3)   A tagállamok jogalkotási intézkedéseket fogadhatnak el az érintett (2) bekezdés szerinti tájékoztatásának annyiban és addig történő késleltetésére, korlátozására vagy mellőzésére, amennyiben és ameddig az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül annak érdekében, hogy:

| a) | ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; |
| --- | --- |

a)

ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;

| b) | ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása; |
| --- | --- |

b)

ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása;

| c) | biztosított legyen a közbiztonság védelme; |
| --- | --- |

c)

biztosított legyen a közbiztonság védelme;

| d) | biztosított legyen a nemzetbiztonság védelme; |
| --- | --- |

d)

biztosított legyen a nemzetbiztonság védelme;

| e) | biztosított legyen mások jogainak és szabadságainak védelme. |
| --- | --- |

e)

biztosított legyen mások jogainak és szabadságainak védelme.

(4)   A tagállamok jogalkotási intézkedéseket fogadhatnak el abból a célból, hogy meghatározzák, mely adatkezelési kategóriák tartozhatnak teljesen vagy részlegesen a (3) bekezdés valamely pontjának hatálya alá.

14. cikk

Az érintett hozzáférési joga

A 15. cikkre is figyelemmel a tagállamok előírják, hogy az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

| a) | az adatkezelés céljai és jogalapja; |
| --- | --- |

a)

az adatkezelés céljai és jogalapja;

| b) | az érintett személyes adatok kategóriái; |
| --- | --- |

b)

az érintett személyes adatok kategóriái;

| c) | olyan címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; |
| --- | --- |

c)

olyan címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

| d) | adott esetben, a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; |
| --- | --- |

d)

adott esetben, a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

| e) | az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését, vagy kezelésének korlátozását; |
| --- | --- |

e)

az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését, vagy kezelésének korlátozását;

| f) | panaszbenyújtási jog a felügyeleti hatóságnál és a felügyeleti hatóság elérhetőségei; |
| --- | --- |

f)

panaszbenyújtási jog a felügyeleti hatóságnál és a felügyeleti hatóság elérhetőségei;

| g) | tájékoztatás az adatkezelés tárgyát képező személyes adatokról és az azok forrására vonatkozó minden elérhető információ. |
| --- | --- |

g)

tájékoztatás az adatkezelés tárgyát képező személyes adatokról és az azok forrására vonatkozó minden elérhető információ.

15. cikk

A hozzáférési jog korlátozása

(1)   A tagállamok jogalkotási intézkedéseket fogadhatnak el az érintettek hozzáférési jogának annyiban és addig történő teljes vagy részleges korlátozására, amennyiben és ameddig e részleges vagy teljes korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül annak érdekében, hogy:

| a) | ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; |
| --- | --- |

a)

ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;

| b) | ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása; |
| --- | --- |

b)

ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása;

| c) | biztosított legyen a közbiztonság védelme; |
| --- | --- |

c)

biztosított legyen a közbiztonság védelme;

| d) | biztosított legyen a nemzetbiztonság védelme; |
| --- | --- |

d)

biztosított legyen a nemzetbiztonság védelme;

| e) | biztosított legyen mások jogainak és szabadságainak védelme. |
| --- | --- |

e)

biztosított legyen mások jogainak és szabadságainak védelme.

(2)   A tagállamok jogalkotási intézkedéseket fogadhatnak el abból a célból, hogy meghatározzák, mely adatkezelési kategóriák tartozhatnak teljesen vagy részlegesen az (1) bekezdés a)–e) pontjának hatálya alá.

(3)   A tagállamok előírják, hogy az (1) és (2) bekezdésben említett esetekben az adatkezelőnek írásban haladéktalanul tájékoztatnia kell az érintettet a hozzáférés megtagadásáról vagy korlátozásáról és a megtagadás vagy korlátozás indokairól. Az ilyen tájékoztatás elhagyható abban az esetben, ha e tájékoztatás nyújtása ellentétes lenne az (1) bekezdésbe foglalt valamelyik céllal. A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell az érintettet a felügyeleti hatósághoz címezhető panasz benyújtásának jogáról, illetve a bírósági jogorvoslat lehetőségéről.

(4)   A tagállamok előírják, hogy az adatkezelőnek nyilván kell tartania a döntés ténybeli vagy jogi indokait. Ezeket az információkat a felügyeleti hatóságok rendelkezésére kell bocsátani.

16. cikk

A személyes adatok helyesbítéséhez, törléséhez és kezelésének korlátozásához való jog

(1)   A tagállamok előírják, hogy az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatok kezelésének célját, a tagállamok előírják, hogy az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

(2)   A tagállamok előírják, hogy az adatkezelőnek indokolatlan késedelem nélkül törölnie kell a személyes adatokat, az érintett pedig jogosult arra, hogy kérésére a rá vonatkozó személyes adatokat az adatkezelő indokolatlan késedelem nélkül törölje, ha az adatkezelés sérti a 4., 8. vagy 10. cikk alapján elfogadott rendelkezéseket, vagy ha a személyes adatokat az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez törölni kell.

(3)   Az adatkezelő törlés helyett korlátozza az adatkezelést, ha:

| a) | az érintett vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen; vagy |
| --- | --- |

a)

az érintett vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen; vagy

| b) | a személyes adatokat bizonyítás céljából meg kell őrizni. |
| --- | --- |

b)

a személyes adatokat bizonyítás céljából meg kell őrizni.

Az adatkezelés első albekezdés a) pontja szerinti korlátozása esetén az adatkezelő az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja az érintettet.

(4)   A tagállamok előírják, hogy az adatkezelőnek az érintettet írásban tájékoztatnia kell a helyesbítésnek, a törlésnek vagy az adatkezelés korlátozásának a megtagadásáról és a megtagadás indokairól. A tagállamok jogalkotási intézkedéseket fogadhatnak el az ilyen információkra vonatkozó tájékoztatási kötelezettség annyiban történő teljes vagy részleges korlátozására, amennyiben e korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül ahhoz, hogy:

| a) | ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; |
| --- | --- |

a)

ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;

| b) | ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása; |
| --- | --- |

b)

ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása;

| c) | biztosított legyen a közbiztonság védelme; |
| --- | --- |

c)

biztosított legyen a közbiztonság védelme;

| d) | biztosított legyen a nemzetbiztonság védelme; |
| --- | --- |

d)

biztosított legyen a nemzetbiztonság védelme;

| e) | biztosított legyen mások jogainak és szabadságainak védelme. |
| --- | --- |

e)

biztosított legyen mások jogainak és szabadságainak védelme.

A tagállamok előírják, hogy az adatkezelő az érintettet tájékoztassa a felügyeleti hatósághoz címzett panasz benyújtásának jogáról, illetve a bírósági jogorvoslat lehetőségéről.

(5)   A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell a pontatlan személyes adatok helyesbítéséről azt az illetékes hatóságot, amelytől a pontatlan személyes adat származik.

(6)   A tagállamok előírják, hogy amennyiben a személyes adatokat helyesbítették vagy törölték, illetve az adatkezelést korlátozták az (1), (2) és (3) bekezdés szerinti esetekben, az adatkezelőnek értesítenie kell a címzetteket, akiknek vagy amelyeknek saját felelősségi körükön belül kell a személyes adatokat helyesbíteniük vagy törölniük, illetve azok kezelését korlátozniuk.

17. cikk

Az érintett jogainak gyakorlása és a felügyeleti hatóság általi ellenőrzés

(1)   A 13. cikk (3) bekezdése, a 15. cikk (3) bekezdése és a 16. cikk (4) bekezdése szerinti esetekben a tagállamok olyan rendelkezéseket fogadnak el, amelyek értelmében az érintett jogainak gyakorlására az illetékes felügyeleti hatóság közreműködésével is sor kerülhet.

(2)   A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell az érintettet arról, hogy jogait a felügyeleti hatóság közreműködésével is gyakorolhatja az (1) bekezdésnek megfelelően.

(3)   Amennyiben az (1) bekezdés szerinti jog gyakorlására sor kerül, a felügyeleti hatóság az érintettet tájékoztatja legalább arról, hogy minden szükséges ellenőrzést, illetve felülvizsgálatot elvégzett. A felügyeleti hatóság az érintetett a bírósági jogorvoslathoz való jogáról is tájékoztatja.

18. cikk

Az érintettet a bűnügyi nyomozások és büntetőeljárások során megillető jogok

A tagállamok előírhatják, hogy a 13., 14. és 16. cikkben említett jogokat a tagállami joggal összhangban kell gyakorolni, ha a személyes adatokat bűnügyi nyomozás vagy büntetőeljárás során kezelt bírósági határozat, vagy jegyzőkönyv vagy ügyirat tartalmazza.

IV. FEJEZET

Adatkezelő és adatfeldolgozó

1. szakasz

Általános kötelezettségek

19. cikk

Az adatkezelő kötelezettségei

(1)   A tagállamok előírják, hogy az adatkezelőnek az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázatok figyelembevételével megfelelő technikai és szervezési intézkedéseket kell végrehajtania annak biztosítása és bizonyítása céljából, hogy az adatok kezelése ezen irányelvvel összhangban történik. Ezeket az intézkedéseket felül kell vizsgálni és szükség esetén naprakésszé kell tenni.

(2)   Ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz.

20. cikk

Beépített és alapértelmezett adatvédelem

(1)   A tagállamok előírják, hogy az adatkezelőnek a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezésii intézkedéseket – például álnevesítést – kell végrehajtania, amelyek célja egyrészt adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

(2)   A tagállamok előírják, hogy az adatkezelőnek megfelelő technikai és szervezési intézkedéseket kell végrehajtania annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítják, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne váljanak hozzáférhetővé meghatározatlan számú személy számára.

21. cikk

Közös adatkezelők

(1)   A tagállamok előírják, hogy ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, közös adatkezelőnek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák az ezen irányelv teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 13. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, kivéve azt az esetet és annyiban, ha és amennyiben az adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg. A megállapodásban az érintettek számára kapcsolattartót kell kijelölni. A tagállamok kijelölhetik, hogy a közös adatkezelők közül melyik az az egyedüli kapcsolattartó, akihez az érintettek jogaik gyakorlása érdekében fordulhatnak.

(2)   Az (1) bekezdésben említett megállapodás feltételeitől függetlenül a tagállamok rendelkezhetnek arról, hogy az érintett az ezen irányelv alapján elfogadott rendelkezések szerinti jogait mindegyik adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja.

22. cikk

Adatfeldolgozó

(1)   A tagállamok előírják, hogy ha az adatkezelést az adatkezelő nevében más végzi, az adatkezelő kizárólag olyan adatfeldolgozókat vehet igénybe, akik vagy amelyek kellő garanciákat nyújtanak az adatkezelés ezen irányelv követelményeinek való megfelelését és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtására.

(2)   A tagállamok előírják, hogy az adatfeldolgozó az adatkezelő előzetesen írásban tett eseti vagy általános felhatalmazása nélkül további adatfeldolgozót nem vehet igénybe. Az általános írásbeli felhatalmazás esetén adatfeldolgozó tájékoztatja az adatkezelőt minden olyan tervezett változásról, amely további adatfeldolgozók igénybevételét vagy azok cseréjét érinti, ezzel biztosítva lehetőséget az adatkezelőnek arra, hogy ezzel a változtatásokkal szemben kifogást emeljen.

(3)   A tagállamok előírják, hogy az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan, az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. A szerződésnek vagy más jogi aktusnak különösen elő kell írnia, hogy az adatfeldolgozó:

| a) | kizárólag az adatkezelő utasítása alapján jár el; |
| --- | --- |

a)

kizárólag az adatkezelő utasítása alapján jár el;

| b) | biztosítja azt, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállalnak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak; |
| --- | --- |

b)

biztosítja azt, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállalnak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak;

| c) | minden megfelelő eszközzel segíti az adatkezelőt az érintettek jogaira vonatkozó rendelkezéseknek történő megfelelés érdekében; |
| --- | --- |

c)

minden megfelelő eszközzel segíti az adatkezelőt az érintettek jogaira vonatkozó rendelkezéseknek történő megfelelés érdekében;

| d) | az adatkezelési szolgáltatásának befejezését követően, az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a meglévő másolatokat, kivéve, ha az uniós vagy tagállami jog a személyes adatok tárolását írja elő; |
| --- | --- |

d)

az adatkezelési szolgáltatásának befejezését követően, az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a meglévő másolatokat, kivéve, ha az uniós vagy tagállami jog a személyes adatok tárolását írja elő;

| e) | az adatkezelő rendelkezésére bocsát minden olyan információt, amely az e cikkben foglaltak teljesítésének igazolásához szükséges; |
| --- | --- |

e)

az adatkezelő rendelkezésére bocsát minden olyan információt, amely az e cikkben foglaltak teljesítésének igazolásához szükséges;

| f) | teljesíti a további adatfeldolgozó igénybevételére vonatkozóan a (2) és (3) bekezdésben említett feltételeket. |
| --- | --- |

f)

teljesíti a további adatfeldolgozó igénybevételére vonatkozóan a (2) és (3) bekezdésben említett feltételeket.

(4)   A (3) bekezdésben említett szerződést vagy más jogi aktust írásba – ideértve az formátumot is – kell foglalni.

(5)   Ha egy adatfeldolgozó ezen irányelvet sértve maga határozza meg az adatkezelés céljait és eszközeit, akkor őt az adott adatkezelés tekintetében adatkezelőnek kell tekinteni.

23. cikk

Az adatkezelő vagy az adatfeldolgozó irányítása alatt végzett adatkezelés

A tagállamok előírják, hogy az adatfeldolgozó és bármely, az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező személy ezeket az adatokat kizárólag az adatkezelő utasításának megfelelően kezelheti, kivéve, ha az ettől való eltérésre őt uniós vagy tagállami jog kötelezi.

24. cikk

Az adatkezelési tevékenységek nyilvántartása

(1)   A tagállamok előírják, hogy az adatkezelőknek a felelősségükbe tartozóan végzett adatkezelési tevékenységek kategóriáiról nyilvántartást kell vezetniük. E nyilvántartás a következő információkat tartalmazza:

| a) | az adatkezelő neve és elérhetősége, valamint – ha van ilyen – a közös adatkezelő és az adatvédelmi tisztviselő neve és elérhetősége; |
| --- | --- |

a)

az adatkezelő neve és elérhetősége, valamint – ha van ilyen – a közös adatkezelő és az adatvédelmi tisztviselő neve és elérhetősége;

| b) | az adatkezelés céljai; |
| --- | --- |

b)

az adatkezelés céljai;

| c) | olyan címzettek kategóriái, akikkel a személyes adatokat közlik vagy közölni fogják, ideértve a harmadik országbeli címzetteket és nemzetközi szervezeteket; |
| --- | --- |

c)

olyan címzettek kategóriái, akikkel a személyes adatokat közlik vagy közölni fogják, ideértve a harmadik országbeli címzetteket és nemzetközi szervezeteket;

| d) | az érintettek kategóriáinak, valamint a személyes adatok kategóriáinak ismertetése; |
| --- | --- |

d)

az érintettek kategóriáinak, valamint a személyes adatok kategóriáinak ismertetése;

| e) | adott esetben a profilalkotás alkalmazásának jelzése; |
| --- | --- |

e)

adott esetben a profilalkotás alkalmazásának jelzése;

| f) | adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbításának kategóriái; |
| --- | --- |

f)

adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbításának kategóriái;

| g) | azon adatkezelési művelet, ideértve az adattovábbítást is, jogalapjának megjelölése, amelyre a személyes adatok vonatkoznak; |
| --- | --- |

g)

azon adatkezelési művelet, ideértve az adattovábbítást is, jogalapjának megjelölése, amelyre a személyes adatok vonatkoznak;

| h) | ha lehetséges, a személyes adatok különböző kategóriáinak törlésére előirányzott határidők; |
| --- | --- |

h)

ha lehetséges, a személyes adatok különböző kategóriáinak törlésére előirányzott határidők;

| i) | ha lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezési biztonsági intézkedések általános leírása. |
| --- | --- |

i)

ha lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezési biztonsági intézkedések általános leírása.

(2)   A tagállamok előírják, hogy minden adatfeldolgozónak nyilvántartást kell vezetnie az adatkezelő nevében végzett adatkezelési tevékenységek minden kategóriájáról; a nyilvántartás a következő információkat tartalmazza:

| a) | az adatfeldolgozó vagy adatfeldolgozók neve és elérhetőségei, minden olyan adatkezelő neve és elérhetősége, amelynek vagy akinek a nevében az adatfeldolgozó eljár, továbbá – ha van ilyen – az adatvédelmi tisztviselő neve és elérhetőségei; |
| --- | --- |

a)

az adatfeldolgozó vagy adatfeldolgozók neve és elérhetőségei, minden olyan adatkezelő neve és elérhetősége, amelynek vagy akinek a nevében az adatfeldolgozó eljár, továbbá – ha van ilyen – az adatvédelmi tisztviselő neve és elérhetőségei;

| b) | az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriái; |
| --- | --- |

b)

az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriái;

| c) | adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása, ha erre az adatkezelő kifejezetten utasítást ad, ideértve a harmadik ország vagy a nemzetközi szervezet azonosítását is; |
| --- | --- |

c)

adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása, ha erre az adatkezelő kifejezetten utasítást ad, ideértve a harmadik ország vagy a nemzetközi szervezet azonosítását is;

| d) | ha lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezési biztonsági intézkedések általános leírása. |
| --- | --- |

d)

ha lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezési biztonsági intézkedések általános leírása.

(3)   Az (1) és (2) bekezdésben említett nyilvántartást írásban kell vezetni, ideértve az elektronikus formátumot is.

Az adatkezelő és az adatfeldolgozó megkeresés alapján a felügyeleti hatóság rendelkezésére bocsátja az említett nyilvántartást.

25. cikk

Naplózás

(1)   A tagállamok előírják, hogy legalább a következő adatkezelési műveleteket automatizált adatkezelési rendszerben kell naplózni: gyűjtés, megváltoztatás, betekintés, közlés – ideértve a továbbítást is –, összekapcsolás, illetve törlés. A betekintésre és a közlésre vonatkozó naplók lehetővé kell, hogy tegyék e műveletek indokoltságának, dátumának és időpontjának, valamint – lehetőség szerint – a személyes adatba betekintő vagy azt közlő személyek személyazonosságának, illetve az ilyen személyes adatok címzettjei személyazonosságának a megállapítását.

(2)   A naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, a személyes adatok integritásának és biztonságának szavatolására, valamint büntetőeljárások keretében használhatók fel.

(3)   Az adatkezelő és az adatfeldolgozó megkeresés alapján a felügyeleti hatóság rendelkezésére bocsátja a a naplókat.

26. cikk

Együttműködés a felügyeleti hatósággal

A tagállamok előírják, hogy az adatkezelő és az adatfeldolgozó a feladataik végrehajtása során a felügyeleti hatósággal – annak megkeresése alapján – együttműködni köteles.

27. cikk

Adatvédelmi hatásvizsgálat

(1)   Ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa, figyelemmel annak jellegére, hatókörére, körülményeire és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor a tagállamok előírják, hogy az adatkezelőnek az adatkezelést megelőzően hatásvizsgálatot kell végeznie arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik.

(2)   Az (1) bekezdésben említett vizsgálat kiterjed legalább a tervezett adatkezelési műveletek általános leírására, az érintettek jogait és szabadságait érintő kockázatok vizsgálatára, a kockázatok kezelése céljából tervezett intézkedésekre, a személyes adatok védelmét és az ezen irányelvben foglalt rendelkezésekkel való összhang igazolására szolgáló garanciákra, biztonsági intézkedésekre és mechanizmusokra, figyelembe véve az érintettek és más személyek jogait és jogos érdekeit.

28. cikk

Előzetes konzultáció a felügyeleti hatósággal

(1)   A tagállamok előírják, hogy az adatkezelőnek vagy az adatfeldolgozónak konzultálnia kell a felügyeleti hatósággal az olyan adatkezelést megelőzően, amely egy létrehozandó új nyilvántartási rendszer részévé fog válni, ha:

| a) | a 27. cikkben előírt adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés magas kockázattal járna, ha az adatkezelő nem tesz intézkedéseket a kockázat mérséklése céljából; vagy |
| --- | --- |

a)

a 27. cikkben előírt adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés magas kockázattal járna, ha az adatkezelő nem tesz intézkedéseket a kockázat mérséklése céljából; vagy

| b) | az adatkezelés típusa, különösen új technológiák, mechanizmusok vagy eljárások alkalmazása esetén magas kockázatot jelent az érintettek jogaira és szabadságaira nézve. |
| --- | --- |

b)

az adatkezelés típusa, különösen új technológiák, mechanizmusok vagy eljárások alkalmazása esetén magas kockázatot jelent az érintettek jogaira és szabadságaira nézve.

(2)   A tagállamok előírják, hogy a felügyeleti hatósággal konzultálni kell az adatkezeléshez kapcsolódó, a nemzeti parlament által elfogadandó jogalkotási intézkedésre, vagy ilyen jogalkotási intézkedésen alapuló szabályozási intézkedésre irányuló javaslatok előkészítése során.

(3)   A tagállamok előírják, hogy a felügyeleti hatóság létrehozhat egy listát azokról az adatkezelési műveletekről, amelyek az (1) bekezdés szerinti előzetes konzultáció tárgyát képezik.

(4)   A tagállamok előírják, hogy az adatkezelőnek a felügyeleti hatóság rendelkezésére kell bocsátania a 27. cikkben előírt adatvédelmi hatásvizsgálatot, valamint megkeresés alapján az összes olyan egyéb információt, amely lehetővé teszi a felügyeleti hatóság számára az adatkezelés megfelelőségének, valamint különösen az érintett személyes adatainak védelmére vonatkozó kockázatoknak és a kapcsolódó garanciáknak a vizsgálatát.

(5)   A tagállamok előírják, hogy ha a felügyeleti hatóság véleménye szerint az e cikk (1) bekezdése szerinti tervezett adatkezelés megsértené az ezen irányelv alapján elfogadott rendelkezéseket – különösen, ha az adatkezelő a kockázatot nem elégséges módon azonosította vagy csökkentette –, a felügyeleti hatóság köteles az adatkezelőnek és adott esetben az adatfeldolgozónak legkésőbb a konzultáció iránti megkeresés kézhezvételétől számított hat héten belül írásban tanácsot adni, és gyakorolhatja a 47. cikkben említett hatásköreit. Ez a határidő – a tervezett adatkezelés összetettségétől függően – egy hónappal meghosszabbítható. A felügyeleti hatóság a konzultáció iránti megkeresés kézhezvételétől számított egy hónapon belül tájékoztatja az adatkezelőt vagy adott esetben az adatfeldolgozót a meghosszabbításról és a késedelem okairól.

2. szakasz

A személyes adatok biztonsága

29. cikk

Az adatkezelés biztonsága

(1)   A tagállamok előírják, hogy az adatkezelőnek és az adatfeldolgozónak, hogy a tudomány és a technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a személyek jogaira és szabadságaira jelentett változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket kell végrehajtania annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, különösen a személyes adatok 10. cikk szerinti különleges kategóriáinak kezelését illetően.

(2)   Az automatizált adatkezelés tekintetében a tagállamok előírják, hogy az adatkezelőnek vagy az adatfeldolgozónak a kockázatok értékelését követően intézkedéseket kell tennie a következő célok érdekében:

| a) | a jogosulatlan személyek számára a hozzáférés megtagadása az adatkezeléshez használt adatkezelő berendezésekhez (berendezésekhez való hozzáférés ellenőrzése); |
| --- | --- |

a)

a jogosulatlan személyek számára a hozzáférés megtagadása az adatkezeléshez használt adatkezelő berendezésekhez (berendezésekhez való hozzáférés ellenőrzése);

| b) | az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozása (adathordozók ellenőrzése); |
| --- | --- |

b)

az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozása (adathordozók ellenőrzése);

| c) | a személyes adatok jogosulatlan bevitelének, valamint a tárolt személyes adatok jogosulatlan megtekintésének, módosításának vagy törlésének megakadályozása (tárolás ellenőrzése); |
| --- | --- |

c)

a személyes adatok jogosulatlan bevitelének, valamint a tárolt személyes adatok jogosulatlan megtekintésének, módosításának vagy törlésének megakadályozása (tárolás ellenőrzése);

| d) | az automatizált adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozása (felhasználók ellenőrzése); |
| --- | --- |

d)

az automatizált adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozása (felhasználók ellenőrzése);

| e) | annak biztosítása, hogy az automatizált adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben meghatározott személyes adatokhoz férjenek hozzá (az adatokhoz való hozzáférés ellenőrzése); |
| --- | --- |

e)

annak biztosítása, hogy az automatizált adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben meghatározott személyes adatokhoz férjenek hozzá (az adatokhoz való hozzáférés ellenőrzése);

| f) | annak biztosítása, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely szervnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésre (adattovábbítás ellenőrzése); |
| --- | --- |

f)

annak biztosítása, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely szervnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésre (adattovábbítás ellenőrzése);

| g) | annak biztosítása, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat vitték be automatizált adatkezelő rendszerekbe, valamint hogy a személyes adatokat mikor és ki vitte be (bevitel ellenőrzése); |
| --- | --- |

g)

annak biztosítása, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat vitték be automatizált adatkezelő rendszerekbe, valamint hogy a személyes adatokat mikor és ki vitte be (bevitel ellenőrzése);

| h) | a személyes adatok átadása vagy az adathordozó szállítása közben történő jogosulatlan adatleolvasás, adatmásolás, adatmódosítás vagy adattörlés megakadályozása (szállítás ellenőrzése); |
| --- | --- |

h)

a személyes adatok átadása vagy az adathordozó szállítása közben történő jogosulatlan adatleolvasás, adatmásolás, adatmódosítás vagy adattörlés megakadályozása (szállítás ellenőrzése);

| i) | annak biztosítása, hogy üzemzavar esetén a telepített rendszerek helyreállíthatók (helyreállítás); |
| --- | --- |

i)

annak biztosítása, hogy üzemzavar esetén a telepített rendszerek helyreállíthatók (helyreállítás);

| j) | annak biztosítása, hogy a rendszer teljesíti feladatait, hogy a feladatok során fellépő hibákról jelentés készül (megbízhatóság), és hogy a tárolt személyes adatok a rendszer hibás működése esetén nem sérülnek (integritás). |
| --- | --- |

j)

annak biztosítása, hogy a rendszer teljesíti feladatait, hogy a feladatok során fellépő hibákról jelentés készül (megbízhatóság), és hogy a tárolt személyes adatok a rendszer hibás működése esetén nem sérülnek (integritás).

30. cikk

Az adatvédelmi incidens bejelentése a felügyeleti hatóságnak

(1)   A tagállamok előírják, hogy az adatvédelmi incidenst az adatkezelőnek indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, be kell jelentenie a felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a felügyeleti hatóság felé a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.

(2)   Az adatfeldolgozó az adatvédelmi incidenst az arról való tudomásszerzését követően indokolatlan késedelem nélkül bejelenti az adatkezelőnek.

(3)   Az (1) bekezdésben említett bejelentésben legalább:

| a) | ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát; |
| --- | --- |

a)

ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát;

| b) | közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségét; |
| --- | --- |

b)

közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségét;

| c) | ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket; |
| --- | --- |

c)

ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;

| d) | ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket. |
| --- | --- |

d)

ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

(4)   Ha és amennyiben nem lehetséges az információkat egyidejűleg közölni, azok további indokolatlan késedelem nélkül később részletekben is közölhetők.

(5)   A tagállamok előírják, hogy az adatkezelőnek nyilván kell tartania az (1) bekezdésben említett összes adatvédelmi incidenst, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy, a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést.

(6)   A tagállamok előírják, hogy amennyiben az adatvédelmi incidens során olyan adat sérült, amelyeket valamely másik tagállam adatkezelője továbbított, vagy amelyeket részére továbbítottak, a (3) bekezdésben említett információkat indokolatlan késedelem nélkül közölni kell ezen másik tagállam adatkezelőjével.

31. cikk

Az érintett tájékoztatása az adatvédelmi incidensről

(1)   A tagállamok előírják, hogy ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintettet az adatvédelmi incidensről.

(2)   Az e cikk (1) bekezdésében említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább a 30. cikk (3) bekezdésének b), c) és d) pontjában említett információkat és intézkedéseket.

(3)   Az érintettet nem kell az (1) bekezdésben említettek szerint tájékoztatni, ha a következő feltételek bármelyike teljesül:

| a) | az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat; |
| --- | --- |

a)

az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;

| b) | az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintettek jogaira és szabadságaira jelentett, az (1) bekezdésben említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg; |
| --- | --- |

b)

az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintettek jogaira és szabadságaira jelentett, az (1) bekezdésben említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;

| c) | a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását. |
| --- | --- |

c)

a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.

(4)   Ha az adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett tájékoztatását, vagy megállapíthatja a (3) bekezdésben említett feltételek valamelyikének teljesülését.

(5)   Az érintettnek az e cikk (1) bekezdése szerinti tájékoztatása a 13. cikk (3) bekezdésében foglalt feltételekkel és okokból késleltethető, korlátozható vagy elhagyható.

3. szakasz

Adatvédelmi tisztviselő

32. cikk

Az adatvédelmi tisztviselő kijelölése

(1)   A tagállamok előírják, hogy az adatkezelőnek adatvédelmi tisztviselőt kell kijelölnie. A tagállamok az igazságszolgáltatási feladatkörükben eljáró bíróságokat és egyéb független igazságügyi hatóságokat mentesíthetik e kötelezettség alól.

(2)   Az adatvédelmi tisztviselőt szakmai képességei és különösen az adatvédelmi jog és gyakorlat szakértői szintű ismerete, valamint a 34. cikkben említett feladatok ellátására való alkalmasság alapján kell kijelölni.

(3)   Több illetékes hatóság számára szervezeti felépítésük és méretük figyelembevételével közös adatvédelmi tisztviselő is kijelölhető.

(4)   A tagállamok előírják, hogy az adatkezelőnek nyilvánosságra kell hoznia az adatvédelmi tisztviselő nevét és elérhetőségeit, és azokat a felügyeleti hatósággal közölnie kell.

33. cikk

Az adatvédelmi tisztviselő jogállása

(1)   A tagállamok előírják, hogy az adatkezelőnek biztosítania kell, hogy az adatvédelmi tisztviselő a személyes adatok védelmével kapcsolatos összes ügybe megfelelő módon és időben bekapcsolódjon.

(2)   Az adatkezelő támogatja az adatvédelmi tisztviselőt a 34. cikkben említett feladatai ellátásában azáltal, hogy biztosítja számára azokat az forrásokat, amelyek e feladatok végrehajtásához, a személyes adatokhoz és az adatkezelési műveletekhez való hozzáféréshez, valamint az adatvédelmi tisztviselő szakértői szintű ismereteinek fenntartásához szükségesek.

34. cikk

Az adatvédelmi tisztviselő feladatai

A tagállamok előírják, hogy az adatkezelőnek legalább az alábbi feladatokat az adatvédelmi tisztviselőre kell bíznia:

| a) | tájékoztatást és szakmai tanácsot ad az adatkezelő, továbbá az adatkezelést végző alkalmazottak részére az ezen irányelv szerinti, valamint egyéb uniós vagy tagállami adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban; |
| --- | --- |

a)

tájékoztatást és szakmai tanácsot ad az adatkezelő, továbbá az adatkezelést végző alkalmazottak részére az ezen irányelv szerinti, valamint egyéb uniós vagy tagállami adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban;

| b) | ellenőrzi az ezen irányelvnek, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezéseknek, továbbá az adatkezelő személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben részt vevő személyzet képzését és tudatosság-növelését, valamint a kapcsolódó auditokat is; |
| --- | --- |

b)

ellenőrzi az ezen irányelvnek, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezéseknek, továbbá az adatkezelő személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben részt vevő személyzet képzését és tudatosság-növelését, valamint a kapcsolódó auditokat is;

| c) | kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi a hatásvizsgálat 27. cikkszerinti elvégzését; |
| --- | --- |

c)

kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi a hatásvizsgálat 27. cikkszerinti elvégzését;

| d) | együttműködik a felügyeleti hatósággal; |
| --- | --- |

d)

együttműködik a felügyeleti hatósággal;

| e) | az adatkezeléssel összefüggő ügyekben – ideértve a 28. cikkben említett előzetes konzultációt is – kapcsolattartó pontként szolgál a felügyeleti hatóság felé, valamint adott esetben bármely egyéb kérdésben konzultációt folytat vele. |
| --- | --- |

e)

az adatkezeléssel összefüggő ügyekben – ideértve a 28. cikkben említett előzetes konzultációt is – kapcsolattartó pontként szolgál a felügyeleti hatóság felé, valamint adott esetben bármely egyéb kérdésben konzultációt folytat vele.

V. FEJEZET

A személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása

35. cikk

A személyes adatok továbbításaira vonatkozó általános elvek

(1)   A tagállamok előírják, hogy a személyes adatoknak az illetékes hatóságok általi bármely továbbítására – ideértve egy további harmadik ország vagy további nemzetközi szervezet részére történő újbóli továbbítást is –, amelyeket harmadik országokba vagy nemzetközi szervezet részére történő továbbításukat követően adatkezelésnek vetnek alá vagy szándékoznak alávetni, csak abban az esetben kerülhet sor, az ezen irányelv egyéb rendelkezései alapján elfogadott nemzeti rendelkezések betartása mellett, ha teljesülnek az e fejezetben rögzített feltételek, nevezetesen:

| a) | az adattovábbítás az 1. cikk (1) bekezdésében meghatározott célokból szükséges; |
| --- | --- |

a)

az adattovábbítás az 1. cikk (1) bekezdésében meghatározott célokból szükséges;

| b) | a személyes adatokat olyan harmadik országbeli adatkezelőhöz vagy olyan nemzetközi szervezet részére továbbítják, amely az 1. cikk (1) bekezdésében említett célok tekintetében illetékes hatóságnak minősül; |
| --- | --- |

b)

a személyes adatokat olyan harmadik országbeli adatkezelőhöz vagy olyan nemzetközi szervezet részére továbbítják, amely az 1. cikk (1) bekezdésében említett célok tekintetében illetékes hatóságnak minősül;

| c) | abban az esetben, ha a személyes adatokat egy másik tagállam továbbította vagy bocsátotta rendelkezésre, az említett tagállam a nemzeti jogával összhangban előzetesen engedélyezte az adattovábbítást; |
| --- | --- |

c)

abban az esetben, ha a személyes adatokat egy másik tagállam továbbította vagy bocsátotta rendelkezésre, az említett tagállam a nemzeti jogával összhangban előzetesen engedélyezte az adattovábbítást;

| d) | a Bizottság a 36. cikk szerint megfelelőségi határozatot hozott, vagy ilyen határozat hiányában a 37. cikk szerint megfelelő garanciákat nyújtottak vagy azok adottak, vagy a 36. cikk szerinti megfelelőségi határozat hiányában vagy 37. cikk megfelelő garanciák hiányában a 38. cikk szerint meghatározott kivételes esetekben biztosított eltéréseket kell alkalmazni; és |
| --- | --- |

d)

a Bizottság a 36. cikk szerint megfelelőségi határozatot hozott, vagy ilyen határozat hiányában a 37. cikk szerint megfelelő garanciákat nyújtottak vagy azok adottak, vagy a 36. cikk szerinti megfelelőségi határozat hiányában vagy 37. cikk megfelelő garanciák hiányában a 38. cikk szerint meghatározott kivételes esetekben biztosított eltéréseket kell alkalmazni; és

| e) | abban az esetben, ha egy további harmadik ország vagy további nemzetközi szervezet részére történő újbóli továbbítás esetén az eredeti továbbítást végző illetékes hatóság vagy ugyanazon tagállam valamely más illetékes hatósága engedélyezi az adatok újbóli továbbítását, miután kellőképpen figyelembe vett minden releváns tényezőt, köztük a bűncselekmény súlyosságát, a személyes adat továbbításának eredeti célját, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy nemzetközi szervezetnél, amelynek részére a személyes adatokat újból továbbítják. |
| --- | --- |

e)

abban az esetben, ha egy további harmadik ország vagy további nemzetközi szervezet részére történő újbóli továbbítás esetén az eredeti továbbítást végző illetékes hatóság vagy ugyanazon tagállam valamely más illetékes hatósága engedélyezi az adatok újbóli továbbítását, miután kellőképpen figyelembe vett minden releváns tényezőt, köztük a bűncselekmény súlyosságát, a személyes adat továbbításának eredeti célját, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy nemzetközi szervezetnél, amelynek részére a személyes adatokat újból továbbítják.

(2)   A tagállamok előírják, hogy a valamely másik tagállamnak az (1) bekezdés c) pontja szerinti előzetes engedélye nélküli adattovábbítás csak akkor megengedett, ha a személyes adatok továbbítása egy tagállam vagy harmadik ország közbiztonságát vagy egy tagállam alapvető érdekeit fenyegető súlyos és közvetlen veszély megelőzése érdekében szükséges, és az előzetes engedély nem szerezhető be kellő időben. Az előzetes engedélyezésért felelős hatóságot haladéktalanul tájékoztatni kell.

(3)   E fejezet valamennyi rendelkezését alkalmazni kell annak biztosítása érdekében, hogy a természetes személy számára ebben az irányelvben garantált védelem szintje ne sérüljön.

36. cikk

Adattovábbítás megfelelőségi határozat alapján

(1)   A tagállamok előírják, hogy személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására akkor kerülhet sor, ha a Bizottság megállapította, hogy a harmadik ország, annak valamely területe vagy egy vagy több meghatározott ágazata, vagy az említett nemzetközi szervezet megfelelő védelmi szintet biztosít. Az ilyen adattovábbításhoz nem szükséges külön engedély.

(2)   A védelmi szint megfelelőségének értékelése során a Bizottság különösen a következő tényezőket veszi figyelembe:

| a) | a jogállamiság, az emberi jogok és alapvető szabadságok tiszteletben tartása, a vonatkozó általános és ágazati jogszabályok, köztük a közbiztonságra, a védelemre, a nemzetbiztonságra vonatkozó és a büntető anyagi jogi rendelkezések, a közhatalmi szervek személyes adatokhoz való hozzáférését szabályozó rendelkezések, valamint az ilyen jogszabályok végrehajtása, az adatvédelmi szabályok, szakmai szabályok és biztonsági intézkedések, ideértve a személyes adatok harmadik ország vagy nemzetközi szervezet részére történő újbóli továbbítására vonatkozó azon szabályokat, amelyeknek az adott országban vagy nemzetközi szervezeten belül meg kell felelni; ítélkezési gyakorlat, továbbá az, hogy az érintettek, akiknek személyes adatait továbbítják, rendelkeznek-e hatékonyan érvényesíthető – a hatékony közigazgatási és bírósági jogorvoslatot is magukban foglaló – jogokkal; |
| --- | --- |

a)

a jogállamiság, az emberi jogok és alapvető szabadságok tiszteletben tartása, a vonatkozó általános és ágazati jogszabályok, köztük a közbiztonságra, a védelemre, a nemzetbiztonságra vonatkozó és a büntető anyagi jogi rendelkezések, a közhatalmi szervek személyes adatokhoz való hozzáférését szabályozó rendelkezések, valamint az ilyen jogszabályok végrehajtása, az adatvédelmi szabályok, szakmai szabályok és biztonsági intézkedések, ideértve a személyes adatok harmadik ország vagy nemzetközi szervezet részére történő újbóli továbbítására vonatkozó azon szabályokat, amelyeknek az adott országban vagy nemzetközi szervezeten belül meg kell felelni; ítélkezési gyakorlat, továbbá az, hogy az érintettek, akiknek személyes adatait továbbítják, rendelkeznek-e hatékonyan érvényesíthető – a hatékony közigazgatási és bírósági jogorvoslatot is magukban foglaló – jogokkal;

| b) | a szóban forgó harmadik országban létezik-e egy vagy több olyan független és hatékonyan működő felügyeleti hatóság – a szóban forgó nemzetközi szervezet pedig ilyen hatóság ellenőrzése alatt áll-e –, amely felelős az adatvédelmi szabályok betartásának biztosításáért és végrehajtásáért, rendelkezik többek között hatékony kikényszerítési hatáskörrel, és felelős az érintettek részére történő, a jogaik gyakorlásával kapcsolatos segítségnyújtásért és tanácsadásért, valamint a tagállami felügyeleti hatóságokkal való együttműködésért; továbbá |
| --- | --- |

b)

a szóban forgó harmadik országban létezik-e egy vagy több olyan független és hatékonyan működő felügyeleti hatóság – a szóban forgó nemzetközi szervezet pedig ilyen hatóság ellenőrzése alatt áll-e –, amely felelős az adatvédelmi szabályok betartásának biztosításáért és végrehajtásáért, rendelkezik többek között hatékony kikényszerítési hatáskörrel, és felelős az érintettek részére történő, a jogaik gyakorlásával kapcsolatos segítségnyújtásért és tanácsadásért, valamint a tagállami felügyeleti hatóságokkal való együttműködésért; továbbá

| c) | a szóban forgó harmadik ország vagy nemzetközi szervezet nemzetközi kötelezettségei vagy egyéb, jogilag kötelező erejű egyezményekből vagy jogi eszközökből, valamint többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségei. |
| --- | --- |

c)

a szóban forgó harmadik ország vagy nemzetközi szervezet nemzetközi kötelezettségei vagy egyéb, jogilag kötelező erejű egyezményekből vagy jogi eszközökből, valamint többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségei.

(3)   A védelmi szint megfelelőségének értékelését követően a Bizottság végrehajtási jogi aktus útján határozhat arról, hogy harmadik ország vagy a harmadik ország valamely területe, vagy egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet az e cikk (2) bekezdése értelmében biztosítja a megfelelő védelmi szintet. A végrehajtási jogi aktusban rendelkezni kell egy rendszeres, legalább négyévente elvégzendő felülvizsgálatra irányuló mechanizmusról, amely az adott harmadik országban vagy nemzetközi szervezetnél végbement valamennyi releváns fejleményt figyelembe vesz. A végrehajtási jogi aktusban pontosan rögzíteni kell annak területi és ágazati alkalmazási körét, és – adott esetben – az e cikk (2) bekezdése b) pontjában említett felügyeleti hatóságot, illetve hatóságokat. A végrehajtási jogi aktust az 58. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

(4)   A Bizottság folyamatosan figyelemmel kíséri a harmadik országokban és a nemzetközi szervezeteknél végbement azon fejleményeket, amelyek érinthetik a (3) bekezdés alapján elfogadott határozatok végrehajtását.

(5)   A Bizottság – amennyiben a rendelkezésre álló információk azt feltárják, különösen az e cikk (3) bekezdésében említett felülvizsgálat alapján – határoz arról, hogy a harmadik ország vagy a harmadik ország valamely területe vagy meghatározott ágazata, vagy valamely nemzetközi szervezet már nem biztosítja az e cikk (2) bekezdése értelmében vett megfelelő védelmi szintet, és a szükséges mértékben, visszaható hatály nélkül végrehajtási jogi aktusával hatályon kívül helyezi, módosítja vagy felfüggeszti az e cikk (3) bekezdésében említett határozatot. E végrehajtási jogi aktusokat az 58. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

Kellően indokolt, rendkívül sürgős esetben a Bizottság azonnal alkalmazandó végrehajtási jogi aktusokat fogad el az 58. cikk (3) bekezdésében említett eljárás keretében.

(6)   A Bizottság konzultációt kezdeményez a harmadik országgal vagy nemzetközi szervezettel az (5) bekezdés szerinti határozat meghozatalához vezető helyzet orvoslása érdekében.

(7)   A tagállamok rendelkeznek arról, hogy az e cikk (5) bekezdése szerinti határozat nem érinti az említett személyes adatok továbbítását a 37. és 38. cikk alapján a harmadik ország, annak valamely területe vagy meghatározott ágazata, illetve az adott nemzetközi szervezet részére.

(8)   A Bizottság az Európai Unió Hivatalos Lapjában és annak weboldalán közzéteszi az olyan harmadik országok, harmadik országon belüli területek és meghatározott ágazatok, valamint nemzetközi szervezetek jegyzékét, amelyek esetében úgy ítélte meg, hogy biztosítják, vagy többé nem biztosítják a megfelelő védelmi szintet.

37. cikk

Adattovábbítás megfelelő garanciákkal

(1)   A 36. cikk (3) bekezdése szerinti határozat hiányában a tagállamok rendelkeznek arról, hogy harmadik ország vagy nemzetközi szervezet részére személyes adatok akkor továbbíthatók, ha:

| a) | a személyes adatok védelmére kötelező erejű jogi eszköz útján megfelelő garanciákat nyújtottak; vagy |
| --- | --- |

a)

a személyes adatok védelmére kötelező erejű jogi eszköz útján megfelelő garanciákat nyújtottak; vagy

| b) | az adatkezelő a személyes adatok továbbításának valamennyi körülményét megvizsgálta, és megállapította, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn. |
| --- | --- |

b)

az adatkezelő a személyes adatok továbbításának valamennyi körülményét megvizsgálta, és megállapította, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn.

(2)   Az adatkezelő tájékoztatja a felügyeleti hatóságot az (1) bekezdés b) pontja szerint továbbított adatok kategóriáiról.

(3)   Ha az adattovábbítás az (1) bekezdés b) pontján alapul, e továbbításokat dokumentálni kell, és kérelemre a dokumentációt a felügyeleti hatóság rendelkezésére kell bocsátani, beleértve a továbbítás napját és időpontját, az átvevő illetékes hatóságra vonatkozó információt, a továbbítás indokát és a továbbított személyes adatokat.

38. cikk

Kivételes esetekben biztosított eltérések

(1)   A tagállamok előírják, hogy a 36. cikk szerinti megfelelőségi határozat vagy a 37. cikk szerinti megfelelő garanciák hiányában a személyes adatok vagy személyes adatok kategóriáinak harmadik ország vagy nemzetközi szervezet részére történő továbbítására csak azzal a feltétellel kerülhet sor, hogy az adattovábbítás szükséges:

| a) | az érintett vagy egy másik személy létfontosságú érdekeinek védelme érdekében; |
| --- | --- |

a)

az érintett vagy egy másik személy létfontosságú érdekeinek védelme érdekében;

| b) | az érintett jogos érdekeinek biztosításához, amennyiben a személyes adatokat továbbító tagállam joga így rendelkezik; |
| --- | --- |

b)

az érintett jogos érdekeinek biztosításához, amennyiben a személyes adatokat továbbító tagállam joga így rendelkezik;

| c) | valamely tagállam vagy harmadik ország közbiztonságának fenntartását közvetlenül és komolyan fenyegető veszély elhárítása érdekében; |
| --- | --- |

c)

valamely tagállam vagy harmadik ország közbiztonságának fenntartását közvetlenül és komolyan fenyegető veszély elhárítása érdekében;

| d) | egyedi esetekben az 1. cikk (1) bekezdésében meghatározott célokból; vagy |
| --- | --- |

d)

egyedi esetekben az 1. cikk (1) bekezdésében meghatározott célokból; vagy

| e) | valamely, az 1. cikk (1) bekezdésében meghatározott célokhoz kapcsolódó jogi igények előterjesztésére, érvényesítésére, illetve védelmére irányuló egyedi ügyben. |
| --- | --- |

e)

valamely, az 1. cikk (1) bekezdésében meghatározott célokhoz kapcsolódó jogi igények előterjesztésére, érvényesítésére, illetve védelmére irányuló egyedi ügyben.

(2)   Nem továbbítható a személyes adat, amennyiben az adatokat továbbító illetékes hatóság megállapítja, hogy az érintett alapvető jogai és szabadságai, az (1) bekezdés d) és e) pontjában említett adattovábbítást igénylő közérdekkel szemben elsőbbséget élveznek.

(3)   Ha az adattovábbítás az (1) bekezdésen alapul, e továbbításokat dokumentálni kell, és kérésre a dokumentációt a felügyeleti hatóság rendelkezésére kell bocsátani, beleértve a továbbítás napját és időpontját, az átvevő illetékes hatóságra vonatkozó információt, a továbbítás indokát és a továbbított személyes adatokat.

39. cikk

Személyes adatok továbbítása harmadik országbeli címzettek részére

(1)   A 35. cikk (1) bekezdésének b) pontjától eltérve és az e cikk (2) bekezdésében említett bármely nemzetközi megállapodás sérelme nélkül, az uniós vagy tagállami jog előírhatja, hogy a 3. cikk (7) bekezdésének a) pontjában említett illetékes hatóságok egyedi és kivételes esetekben továbbíthatnak személyes adatokat közvetlenül harmadik országbeli címzettek részére, de kizárólag az ezen irányelvben foglalt egyéb rendelkezések betartása és a következő feltételek együttes teljesülése esetén:

| a) | az adattovábbítás feltétlenül szükséges valamely olyan feladat ellátásához, amelyet az adatokat továbbító illetékes hatóság az uniós vagy tagállami jog alapján végez az 1. cikk (1) bekezdésében meghatározott célokból; |
| --- | --- |

a)

az adattovábbítás feltétlenül szükséges valamely olyan feladat ellátásához, amelyet az adatokat továbbító illetékes hatóság az uniós vagy tagállami jog alapján végez az 1. cikk (1) bekezdésében meghatározott célokból;

| b) | az adatokat továbbító illetékes hatóság megállapítja, hogy az adott ügyben, az érintettnek az adattovábbítást igénylő közérdekkel szemben nincs olyan alapvető joga és szabadsága, amely elsőbbséget élvez; |
| --- | --- |

b)

az adatokat továbbító illetékes hatóság megállapítja, hogy az adott ügyben, az érintettnek az adattovábbítást igénylő közérdekkel szemben nincs olyan alapvető joga és szabadsága, amely elsőbbséget élvez;

| c) | az adatokat továbbító illetékes hatóság úgy véli, hogy az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság számára történő továbbítás nem hatékony vagy nem célszerű, különösen azért, mert arra nem kerülhet kellő időben sor; |
| --- | --- |

c)

az adatokat továbbító illetékes hatóság úgy véli, hogy az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság számára történő továbbítás nem hatékony vagy nem célszerű, különösen azért, mert arra nem kerülhet kellő időben sor;

| d) | az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóságot indokolatlan késedelem nélkül tájékoztatják, kivéve, ha ez nem hatékony vagy nem célszerű, és |
| --- | --- |

d)

az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóságot indokolatlan késedelem nélkül tájékoztatják, kivéve, ha ez nem hatékony vagy nem célszerű, és

| e) | az adatokat továbbító illetékes hatóság tájékoztatja a címzettet arról a konkrét célról vagy azokról a konkrét célokról, amelyek érdekében a személyes adatokat a címzett kezelheti, feltéve, hogy az ilyen adatkezelésre szükség van. |
| --- | --- |

e)

az adatokat továbbító illetékes hatóság tájékoztatja a címzettet arról a konkrét célról vagy azokról a konkrét célokról, amelyek érdekében a személyes adatokat a címzett kezelheti, feltéve, hogy az ilyen adatkezelésre szükség van.

(2)   Az (1) bekezdésben említett nemzetközi megállapodásnak minősül a tagállamok és a harmadik országok között létrejött, a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén hatályos bármely kétoldalú vagy többoldalú nemzetközi megállapodás.

(3)   Az adatokat továbbító illetékes hatóság tájékoztatja a felügyeleti hatóságot az e cikk szerinti adattovábbításokról.

(4)   Amennyiben az adattovábbítás az (1) bekezdésen alapul, akkor azt dokumentálni kell.

40. cikk

A személyes adatok védelmével kapcsolatos nemzetközi együttműködés

A Bizottság és a tagállamok a harmadik országok és nemzetközi szervezetek viszonylatában megfelelő lépéseket tesznek annak érdekében, hogy:

| a) | a személyes adatok védelméről szóló jogszabályok hatékony érvényesítésének elősegítését célzó nemzetközi együttműködési mechanizmusokat alakítsanak ki; |
| --- | --- |

a)

a személyes adatok védelméről szóló jogszabályok hatékony érvényesítésének elősegítését célzó nemzetközi együttműködési mechanizmusokat alakítsanak ki;

| b) | a személyes adatok védelméről szóló jogszabályok érvényesítésében kölcsönös nemzetközi segítségnyújtást biztosítsanak, többek között értesítés, a panaszok illetékes hatósághoz történő továbbítása, a vizsgálatokban történő segítségnyújtás és információcsere útján, a személyes adatok védelmére és a többi alapvető jogra és szabadságra vonatkozó megfelelő garanciákra is figyelemmel; |
| --- | --- |

b)

a személyes adatok védelméről szóló jogszabályok érvényesítésében kölcsönös nemzetközi segítségnyújtást biztosítsanak, többek között értesítés, a panaszok illetékes hatósághoz történő továbbítása, a vizsgálatokban történő segítségnyújtás és információcsere útján, a személyes adatok védelmére és a többi alapvető jogra és szabadságra vonatkozó megfelelő garanciákra is figyelemmel;

| c) | az érintett érdekelt feleket bevonják a személyes adatok védelméről szóló jogszabályok érvényesítése érdekében folytatott nemzetközi együttműködés előmozdítását célzó párbeszédbe és tevékenységekbe; |
| --- | --- |

c)

az érintett érdekelt feleket bevonják a személyes adatok védelméről szóló jogszabályok érvényesítése érdekében folytatott nemzetközi együttműködés előmozdítását célzó párbeszédbe és tevékenységekbe;

| d) | előmozdítsák a személyes adatok védelméről szóló jogszabályok és gyakorlat átadását és dokumentálását, beleértve a harmadik országokkal előforduló joghatósági összeütközéseket is. |
| --- | --- |

d)

előmozdítsák a személyes adatok védelméről szóló jogszabályok és gyakorlat átadását és dokumentálását, beleértve a harmadik országokkal előforduló joghatósági összeütközéseket is.

VI. FEJEZET

Független felügyeleti hatóságok

1. szakasz

Független jogállás

41. cikk

Felügyeleti hatóság

(1)   A tagállamok előírják, hogy a természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme, valamint a személyes adatok Unión belüli szabad áramlásának megkönnyítése érdekében ezen irányelv alkalmazásának ellenőrzéséért egy vagy több független közhatalmi szerv feleljen („felügyeleti hatóság”).

(2)   Valamennyi felügyeleti hatóság elősegíti ezen irányelv egységes alkalmazását az Unió egész területén. A felügyeleti hatóságok e célból a VII. fejezetben meghatározottak szerint együttműködnek egymással és a Bizottsággal.

(3)   A tagállamok előírhatják, hogy az ezen irányelvben említett felügyeleti hatóság az (EU) 2016/679 rendelet alapján létrehozott felügyeleti hatóság legyen, és ez a hatóság lássa el az e cikk (1) bekezdése értelmében létrehozandó felügyeleti hatóság feladatait.

(4)   Ha valamely tagállamban egynél több felügyeleti hatóságot hoztak létre, a tagállam kijelöli azt a felügyeleti hatóságot, amelyik ellátja az említett hatóságok képviseletét az 51. cikk szerinti Testületben.

42. cikk

Függetlenség

(1)   A tagállamok előírják, hogy felügyeleti hatóságaik az ezen irányelvvel összhangban rájuk ruházott feladatok végzése és hatásköreik gyakorlása során teljesen függetlenül kell, hogy eljárjanak.

(2)   A tagállamok előírják, hogy felügyeleti hatóságaik tagja vagy tagjai az ezen irányelvvel összhangban rájuk ruházott feladatok végzése és hatáskörök gyakorlása során mindennemű – közvetlen vagy közvetett – külső befolyástól mentesen kell, hogy eljárjanak, és utasítást senkitől sem kérhetnek vagy fogadhatnak el.

(3)   A tagállamok felügyeleti hatóságainak tagjai tartózkodnak a feladataik ellátásával összeférhetetlen cselekményektől, és hivatali idejük alatt sem javadalmazás ellenében, sem anélkül nem vállalhatnak azzal összeférhetetlen szakmai tevékenységet.

(4)   A tagállamok biztosítják, hogy a felügyeleti hatóság rendelkezésére álljanak a feladatai eredményes ellátásához és hatáskörei – ideértve a kölcsönös segítségnyújtást, az együttműködést és a Testületben való részvétel keretei között végzett tevékenységeket is – eredményes gyakorlásához szükséges emberi, műszaki és pénzügyi források, helyiségek és infrastruktúra.

(5)   A tagállamok biztosítják, hogy a felügyeleti hatóság kiválaszthassa saját személyzetét és rendelkezzen e személyzettel, amely a felügyeleti hatóság tagjának vagy tagjainak kizárólagos irányítása alá tartozik.

(6)   A tagállamok biztosítják, hogy a felügyeleti hatóság a függetlenségét nem befolyásoló pénzügyi ellenőrzés alá tartozzon és saját, nyilvános éves költségvetéssel rendelkezzen, amely az állami vagy nemzeti költségvetés részét képezheti.

43. cikk

A felügyeleti hatóság tagjaira vonatkozó általános feltételek

(1)   A tagállamok előírják, hogy felügyeleti hatóságaik minden tagját átlátható eljárás keretében nevezze ki az alábbiak egyike:

| — | parlamentjük, |
| --- | --- |

—

parlamentjük,

| — | kormányuk, |
| --- | --- |

—

kormányuk,

| — | államfőjük, vagy |
| --- | --- |

—

államfőjük, vagy

| — | a tagállami jog alapján a kinevezéssel megbízott független szerv. |
| --- | --- |

—

a tagállami jog alapján a kinevezéssel megbízott független szerv.

(2)   A felügyeleti hatóságok valamennyi tagjának rendelkeznie kell a feladatai ellátásához és hatásköre gyakorlásához szükséges képesítéssel, tapasztalattal és készségekkel, különösen a személyes adatok védelme területén.

(3)   A tagok feladatköre a hivatali idő lejártával, lemondással vagy kötelező nyugdíjazással szűnik meg, az érintett tagállam jogában előírtaknak megfelelően.

(4)   Tag felmentésére kizárólag súlyos kötelességszegés esetén, vagy abban az esetben kerülhet sor, ha a tag már nem felel meg a feladatai ellátásához szükséges feltételeknek.

44. cikk

A felügyeleti hatóság létrehozására vonatkozó szabályok

(1)   A tagállamok jogszabályban rendelkeznek valamennyi alábbi kérdésről:

| a) | minden egyes felügyeleti hatóság létrehozásáról; |
| --- | --- |

a)

minden egyes felügyeleti hatóság létrehozásáról;

| b) | az egyes felügyeleti hatóságok tagjává való kinevezéshez szükséges képesítésekről és a pályázati feltételekről; |
| --- | --- |

b)

az egyes felügyeleti hatóságok tagjává való kinevezéshez szükséges képesítésekről és a pályázati feltételekről;

| c) | az egyes felügyeleti hatóságok tagjának vagy tagjainak kinevezésére vonatkozó szabályokról és eljárásokról; |
| --- | --- |

c)

az egyes felügyeleti hatóságok tagjának vagy tagjainak kinevezésére vonatkozó szabályokról és eljárásokról;

| d) | az egyes felügyeleti hatóságok tagja vagy tagjai megbízatásának időtartamáról, amelynek legalább négy évre kell szólnia, kivéve a 2016. május 6-át követő első kinevezést, amely rövidebb időtartamra is szólhat, ha ez a felügyeleti hatóság függetlenségének megőrzése érdekében a kinevezéseket több lépcsőben kell végrehajtani; |
| --- | --- |

d)

az egyes felügyeleti hatóságok tagja vagy tagjai megbízatásának időtartamáról, amelynek legalább négy évre kell szólnia, kivéve a 2016. május 6-át követő első kinevezést, amely rövidebb időtartamra is szólhat, ha ez a felügyeleti hatóság függetlenségének megőrzése érdekében a kinevezéseket több lépcsőben kell végrehajtani;

| e) | arról, hogy az egyes felügyeleti hatóságok tagja vagy tagjai újra kinevezhetők-e, és ha igen, hány ciklusra; |
| --- | --- |

e)

arról, hogy az egyes felügyeleti hatóságok tagja vagy tagjai újra kinevezhetők-e, és ha igen, hány ciklusra;

| f) | az egyes felügyeleti hatóságok tagja vagy tagjai, személyzete kötelezettségeinek ellátására vonatkozó feltételekről, a hivatali idő alatt és azt követően a feladatuk ellátásával összeférhetetlen szakmai tevékenységre, foglalkozásokra és juttatásokra vonatkozó tiltó rendelkezésekről, valamint a munkavégzésre irányuló jogviszony megszűnésére vonatkozó szabályokról. |
| --- | --- |

f)

az egyes felügyeleti hatóságok tagja vagy tagjai, személyzete kötelezettségeinek ellátására vonatkozó feltételekről, a hivatali idő alatt és azt követően a feladatuk ellátásával összeférhetetlen szakmai tevékenységre, foglalkozásokra és juttatásokra vonatkozó tiltó rendelkezésekről, valamint a munkavégzésre irányuló jogviszony megszűnésére vonatkozó szabályokról.

(2)   Az uniós vagy tagállami jognak megfelelően minden egyes felügyeleti hatóság tagját vagy tagjait és személyzetét a feladataik ellátása és hatáskörük gyakorlása során tudomásukra jutott bármely bizalmas információ tekintetében hivatali idejük alatt és annak lejártát követően is szakmai titoktartási kötelezettség terheli. Hivatali idejük alatt ez a szakmai titoktartási kötelezettség különösen vonatkozik a természetes személyek által ezen irányelv megsértését illetően tett bejelentésekre.

2. szakasz

Illetékesség, feladatok és hatáskörök

45. cikk

Illetékesség

(1)   A tagállamok rendelkeznek arról, hogy felügyeleti hatóságaik a saját tagállamuk területén illetékesek az ezen irányelv alapján rájuk ruházott feladatok végzésére és hatáskörök gyakorlására.

(2)   A tagállamok rendelkeznek arról, hogy felügyeleti hatóságaik hatásköre nem terjed ki a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére. A tagállamok rendelkezhetnek úgy, hogy az egyes felügyeleti hatóságaik hatásköre nem terjed ki az egyéb független igazságügyi hatóságok által igazságszolgáltatási feladataik körében végzett adatkezelési műveletek felügyeletére.

46. cikk

Feladatok

(1)   Valamennyi tagállam rendelkezik arról, hogy a területén felügyeleti hatóság:

| a) | nyomon követi és érvényre juttatja az ezen irányelv alapján elfogadott rendelkezések és az azt végrehajtó intézkedések alkalmazását; |
| --- | --- |

a)

nyomon követi és érvényre juttatja az ezen irányelv alapján elfogadott rendelkezések és az azt végrehajtó intézkedések alkalmazását;

| b) | elősegíti a nyilvánosság figyelmének felkeltését és az ismeretek terjesztését a személyes adatok kezelésével kapcsolatos kockázatok, szabályok, garanciák és jogok vonatkozásában; |
| --- | --- |

b)

elősegíti a nyilvánosság figyelmének felkeltését és az ismeretek terjesztését a személyes adatok kezelésével kapcsolatos kockázatok, szabályok, garanciák és jogok vonatkozásában;

| c) | a tagállami joggal összhangban tanácsot ad a nemzeti parlamentnek, a kormánynak és más intézményeknek és szerveknek a természetes személyek jogainak és szabadságainak a személyes adatok kezelése tekintetében történő védelmével kapcsolatos jogalkotási és közigazgatási intézkedésekről; |
| --- | --- |

c)

a tagállami joggal összhangban tanácsot ad a nemzeti parlamentnek, a kormánynak és más intézményeknek és szerveknek a természetes személyek jogainak és szabadságainak a személyes adatok kezelése tekintetében történő védelmével kapcsolatos jogalkotási és közigazgatási intézkedésekről;

| d) | felhívja az adatkezelők és az adatfeldolgozók figyelmét az ezen irányelv szerinti kötelezettségeikre; |
| --- | --- |

d)

felhívja az adatkezelők és az adatfeldolgozók figyelmét az ezen irányelv szerinti kötelezettségeikre;

| e) | kérésre tájékoztatást ad bármely érintettnek az ezen irányelv alapján őt megillető jogok gyakorlásával kapcsolatban, és e célból adott esetben együttműködik más tagállamok felügyeleti hatóságaival; |
| --- | --- |

e)

kérésre tájékoztatást ad bármely érintettnek az ezen irányelv alapján őt megillető jogok gyakorlásával kapcsolatban, és e célból adott esetben együttműködik más tagállamok felügyeleti hatóságaival;

| f) | kezeli az érintett vagy valamely szerv, szervezet vagy egyesület által az 55. cikkel összhangban benyújtott panaszokat, és a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű időn belül tájékozatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé; |
| --- | --- |

f)

kezeli az érintett vagy valamely szerv, szervezet vagy egyesület által az 55. cikkel összhangban benyújtott panaszokat, és a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű időn belül tájékozatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé;

| g) | a 17. cikkel összhangban ellenőrzi az adatkezelés jogszerűségét, valamint észszerű határidőn belül tájékozatja az érintettet az említett cikk (3) bekezdése szerinti ellenőrzés eredményéről vagy az ellenőrzés elmaradásának okairól; |
| --- | --- |

g)

a 17. cikkel összhangban ellenőrzi az adatkezelés jogszerűségét, valamint észszerű határidőn belül tájékozatja az érintettet az említett cikk (3) bekezdése szerinti ellenőrzés eredményéről vagy az ellenőrzés elmaradásának okairól;

| h) | együttműködik más felügyeleti hatósággal, ideértve az információcserét és kölcsönös segítséget nyújt az ezen irányelv egységes alkalmazásának és érvényesítésének biztosítása érdekében; |
| --- | --- |

h)

együttműködik más felügyeleti hatósággal, ideértve az információcserét és kölcsönös segítséget nyújt az ezen irányelv egységes alkalmazásának és érvényesítésének biztosítása érdekében;

| i) | vizsgálatot folytat le az ezen irányelv alkalmazásával kapcsolatban, akár más felügyeleti hatóságtól vagy más közhatalmi szervtől kapott információ alapján; |
| --- | --- |

i)

vizsgálatot folytat le az ezen irányelv alkalmazásával kapcsolatban, akár más felügyeleti hatóságtól vagy más közhatalmi szervtől kapott információ alapján;

| j) | figyelemmel kíséri személyes adatok védelmére kiható jelentősebb fejleményeket, különösen az információs és kommunikációs technológiák fejlődését; |
| --- | --- |

j)

figyelemmel kíséri személyes adatok védelmére kiható jelentősebb fejleményeket, különösen az információs és kommunikációs technológiák fejlődését;

| k) | tanácsot ad a 28. cikkben említett adatkezelési műveletekkel kapcsolatban; és |
| --- | --- |

k)

tanácsot ad a 28. cikkben említett adatkezelési műveletekkel kapcsolatban; és

| l) | hozzájárul a Testület tevékenységeihez. |
| --- | --- |

l)

hozzájárul a Testület tevékenységeihez.

(2)   A felügyeleti hatóság megkönnyíti az (1) bekezdés f) pontjában említett panaszok benyújtását például olyan intézkedésekkel, hogy elektronikus úton is kitölthető panasz benyújtására szolgáló formanyomtatványt hoz létre, nem zárva ki azonban más kommunikációs eszközöket sem.

(3)   A felügyeleti hatóság úgy látja el feladatait, hogy az az érintett és az adatvédelmi tisztviselő számára térítésmentes legyen.

(4)   Ha a kérelem egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, a felügyeleti hatóság észszerű összegű, az adminisztratív költségeken alapuló díjat számíthat fel, vagy megtagadhatja, hogy eljárjon a kérelemmel kapcsolatban. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása a felügyeleti hatóságot terheli.

47. cikk

Hatáskörök

(1)   Valamennyi tagállam jogszabályban írja elő, hogy minden felügyeleti hatóság tényleges vizsgálati hatáskörrel rendelkezik. E hatáskörök magukban foglalják legalább azt, hogy a felügyeleti hatóság hozzáférjen az adatkezelő és az adatfeldolgozó által valamennyi kezelt személyes adathoz és a feladatainak teljesítéséhez szükséges valamennyi információhoz.

(2)   Valamennyi tagállam jogszabályban írja elő, hogy minden felügyeleti hatóság olyan tényleges korrekciós hatáskörökkel rendelkezik, mint például:

| a) | az adatkezelő vagy az adatfeldolgozó figyelmeztetése azzal kapcsolatban, hogy a tervezett adatkezelési tevékenységei valószínűleg sértik az ezen irányelv alapján elfogadott rendelkezéseket; |
| --- | --- |

a)

az adatkezelő vagy az adatfeldolgozó figyelmeztetése azzal kapcsolatban, hogy a tervezett adatkezelési tevékenységei valószínűleg sértik az ezen irányelv alapján elfogadott rendelkezéseket;

| b) | az adatkezelő vagy az adatfeldolgozó utasítása arra, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba ezzel az irányelv alapján elfogadott rendelkezésekkel, különösen a 16. cikkben foglaltaknak megfelelően a személyes adat helyesbítésének vagy törlésének, vagy az adatkezelés korlátozásának elrendelésével; |
| --- | --- |

b)

az adatkezelő vagy az adatfeldolgozó utasítása arra, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba ezzel az irányelv alapján elfogadott rendelkezésekkel, különösen a 16. cikkben foglaltaknak megfelelően a személyes adat helyesbítésének vagy törlésének, vagy az adatkezelés korlátozásának elrendelésével;

| c) | az adatkezelés átmeneti vagy végleges korlátozásának, többek között tilalmának elrendelése. |
| --- | --- |

c)

az adatkezelés átmeneti vagy végleges korlátozásának, többek között tilalmának elrendelése.

(3)   Valamennyi tagállam jogszabályban biztosítja, hogy minden felügyeleti hatóság tényleges tanácsadási hatáskörrel rendelkezik arra, hogy tanácsot adjon az adatkezelő részére a 28. cikkben említett előzetes konzultációs eljárás keretében, valamint hogy saját kezdeményezésre vagy kérésre a személyes adatok védelmével kapcsolatos bármilyen kérdésben véleményt adjon a nemzeti parlament, a tagállami kormány vagy – saját nemzeti jogával összhangban – más intézmények és szervek, valamint a nyilvánosság részére.

(4)   Az e cikk szerint a felügyeleti hatóságra ruházott hatáskörök gyakorlására megfelelő garanciák mellett kerülhet sor, ideértve az uniós és a tagállami jogban a Chartának megfelelően előírt hatékony bírósági jogorvoslatot és tisztességes eljárást is.

(5)   A tagállamok jogszabályban előírják, hogy minden felügyeleti hatóság hatáskörrel rendelkezik arra, hogy az ezen irányelv alapján elfogadott rendelkezések megsértéséről tájékoztassa az igazságügyi hatóságokat, és adott esetben bírósági eljárást kezdeményezzen vagy abban más módon részt vegyen az ezen irányelv alapján elfogadott rendelkezések érvényre juttatása érdekében.

48. cikk

A jogsértések bejelentése

A tagállamok előírják, hogy az illetékes hatóságok hatékony mechanizmusokat dolgoznak ki annak érdekében, hogy az ezen irányelv megsértésére vonatkozó bizalmas jellegű bejelentések megtételét ösztönözzék.

49. cikk

Tevékenységi jelentések

Minden felügyeleti hatóság éves jelentést készít tevékenységéről, amely tartalmazhatja a bejelentett jogsértések típusainak és a kiszabott szankciók típusainak a jegyzékét is. A jelentéseket a nemzeti parlamentnek, a kormánynak és a tagállami jogban megjelölt más hatóságoknak kell benyújtani. A jelentéseket a nyilvánosság, a Bizottság és a Testület számára elérhetővé kell tenni.

VII. FEJEZET

Együttműködés

50. cikk

Kölcsönös segítségnyújtás

(1)   A tagállamok előírják, hogy felügyeleti hatóságaik ezen irányelv egységes végrehajtása és alkalmazása érdekében megosztják egymással a releváns információkat és kölcsönösen segítséget nyújtanak egymásnak, valamint hatékony együttműködést célzó intézkedéseket tesznek. A kölcsönös segítségnyújtás különösen az információkérésekre és felügyeleti intézkedésekre, például az egyeztetés, az ellenőrzés és a vizsgálat lefolytatása iránti megkeresésekre terjed ki.

(2)   A tagállamok előírják, hogy minden felügyeleti hatóság megteszi a megfelelő intézkedéseket annak érdekében, hogy a más felügyeleti hatóságtól érkező megkereséseket indokolatlan késedelem nélkül, de legkésőbb a megkeresés kézhezvételétől számított egy hónapon belül megválaszolja. Ezen intézkedések közé tartozhat különösen a vizsgálatok folytatásával kapcsolatos releváns információk továbbítása.

(3)   A segítségnyújtás iránti megkeresésnek minden szükséges információt tartalmaznia kell, beleértve a megkeresés célját és okait. A kicserélt információk kizárólag a megkeresésben meghatározott célra használhatók fel.

(4)   A felügyeleti hatóság csak abban az esetben tagadhatja meg a hozzá érkezett segítségnyújtás teljesítését, ha:

| a) | a megkeresés tárgyát vagy a kért intézkedés végrehajtását illetően nem jogosult eljárni; vagy |
| --- | --- |

a)

a megkeresés tárgyát vagy a kért intézkedés végrehajtását illetően nem jogosult eljárni; vagy

| b) | a megkeresés teljesítése sértené ezen irányelvet, az uniós jogot vagy azon tagállami jogot, amelynek hatálya alá a megkeresett felügyeleti hatóság tartozik. |
| --- | --- |

b)

a megkeresés teljesítése sértené ezen irányelvet, az uniós jogot vagy azon tagállami jogot, amelynek hatálya alá a megkeresett felügyeleti hatóság tartozik.

(5)   A megkeresett felügyeleti hatóság tájékoztatja a megkereső felügyeleti hatóságot az ügyben elért eredményekről vagy adott esetben a megkeresés teljesítése érdekében hozott intézkedésekkel kapcsolatos fejleményekről. Ha a felügyeleti hatóság megtagadja a megkeresés teljesítését, ezt köteles a (4) bekezdésnek megfelelően indokolni.

(6)   A felügyeleti hatóságok főszabályként elektronikus úton, egységes formátum alkalmazásával továbbítják a más felügyeleti hatóság által kért információt.

(7)   A megkeresett felügyeleti hatóság által a kölcsönös segítségnyújtás iránti megkeresés nyomán tett intézkedések térítésmentesek. A felügyeleti hatóságok megállapodhatnak más felügyeleti hatóságokkal a rendkívüli körülmények közötti kölcsönös segítségnyújtásból eredő különleges költségek megtérítésére vonatkozó szabályokról.

(8)   A Bizottság végrehajtási jogi aktusok révén meghatározhatja az e cikk szerinti kölcsönös segítségnyújtás formáját és eljárásait, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus információcserére vonatkozó szabályokat. Ezeket a végrehajtási jogi aktusokat az 58. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

51. cikk

A Testület feladatai

(1)   Az (EU) 2016/679 rendelettel létrehozott Testület („a Testület”) az ezen irányelv hatálya alá tartozó adatkezeléssel kapcsolatban az alábbi feladatokat látja el:

| a) | tanácsot ad a Bizottságnak a személyes adatok Unión belüli védelmével kapcsolatos kérdésekben, ideértve az ezen irányelv módosítására irányuló javaslatokat is; |
| --- | --- |

a)

tanácsot ad a Bizottságnak a személyes adatok Unión belüli védelmével kapcsolatos kérdésekben, ideértve az ezen irányelv módosítására irányuló javaslatokat is;

| b) | saját kezdeményezésére, illetve valamely tagjának vagy a Bizottságnak a kérésére megvizsgálja az ezen irányelv alkalmazását érintő kérdéseket, valamint ezen irányelv egységes alkalmazásának elősegítése érdekében iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki; |
| --- | --- |

b)

saját kezdeményezésére, illetve valamely tagjának vagy a Bizottságnak a kérésére megvizsgálja az ezen irányelv alkalmazását érintő kérdéseket, valamint ezen irányelv egységes alkalmazásának elősegítése érdekében iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki;

| c) | iránymutatásokat dolgoz ki a felügyeleti hatóságok számára a 47. cikk (1) és (3) bekezdése szerinti intézkedések alkalmazására; |
| --- | --- |

c)

iránymutatásokat dolgoz ki a felügyeleti hatóságok számára a 47. cikk (1) és (3) bekezdése szerinti intézkedések alkalmazására;

| d) | ezen albekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az adatvédelmi incidensek és a 30. cikk (1) és (2) bekezdésében említett indokolatlan késedelem tényének megállapítására, valamint azokra a konkrét körülményekre vonatkozóan, amelyek fennállása esetén az adatkezelő vagy az adatfeldolgozó köteles bejelenteni az adatvédelmi incidenst; |
| --- | --- |

d)

ezen albekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az adatvédelmi incidensek és a 30. cikk (1) és (2) bekezdésében említett indokolatlan késedelem tényének megállapítására, valamint azokra a konkrét körülményekre vonatkozóan, amelyek fennállása esetén az adatkezelő vagy az adatfeldolgozó köteles bejelenteni az adatvédelmi incidenst;

| e) | ezen albekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki azokra a körülményekre vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a 31. cikk (1) bekezdésében említettek szerint; |
| --- | --- |

e)

ezen albekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki azokra a körülményekre vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a 31. cikk (1) bekezdésében említettek szerint;

| f) | felülvizsgálja a b), illetve c) pontban említett iránymutatások, ajánlások és legjobb gyakorlatok gyakorlati alkalmazását; |
| --- | --- |

f)

felülvizsgálja a b), illetve c) pontban említett iránymutatások, ajánlások és legjobb gyakorlatok gyakorlati alkalmazását;

| g) | véleményt bocsát ki a Bizottság számára annak értékeléséhez, hogy egy adott harmadik ország, egy harmadik ország valamely területe vagy egy vagy több meghatározott ágazata vagy egy adott nemzetközi szervezet megfelelő szintű védelmet biztosít-e, ezen belül annak megállapításához, hogy a harmadik ország vagy a harmadik ország valamely területe, meghatározott ágazata vagy a nemzetközi szervezet már nem nyújt megfelelő szintű védelmet; |
| --- | --- |

g)

véleményt bocsát ki a Bizottság számára annak értékeléséhez, hogy egy adott harmadik ország, egy harmadik ország valamely területe vagy egy vagy több meghatározott ágazata vagy egy adott nemzetközi szervezet megfelelő szintű védelmet biztosít-e, ezen belül annak megállapításához, hogy a harmadik ország vagy a harmadik ország valamely területe, meghatározott ágazata vagy a nemzetközi szervezet már nem nyújt megfelelő szintű védelmet;

| h) | előmozdítja az együttműködést, valamint az információk és a legjobb gyakorlatok hatékony két- és többoldalú cseréjét a felügyeleti hatóságok között; |
| --- | --- |

h)

előmozdítja az együttműködést, valamint az információk és a legjobb gyakorlatok hatékony két- és többoldalú cseréjét a felügyeleti hatóságok között;

| i) | támogatja a közös képzési programokat, továbbá megkönnyíti a személyzeti csereprogramokat a felügyeleti hatóságok között, valamint adott esetben a harmadik országok felügyeleti hatóságaival vagy a nemzetközi szervezetekkel; |
| --- | --- |

i)

támogatja a közös képzési programokat, továbbá megkönnyíti a személyzeti csereprogramokat a felügyeleti hatóságok között, valamint adott esetben a harmadik országok felügyeleti hatóságaival vagy a nemzetközi szervezetekkel;

| j) | az adatvédelmi felügyeleti hatóságok körében világszerte előmozdítja az adatvédelmi jogra és gyakorlatokra vonatkozó ismeretek és dokumentáció cseréjét. |
| --- | --- |

j)

az adatvédelmi felügyeleti hatóságok körében világszerte előmozdítja az adatvédelmi jogra és gyakorlatokra vonatkozó ismeretek és dokumentáció cseréjét.

Az első albekezdés g) pontja tekintetében a Bizottság a Testület számára az összes szükséges dokumentációt rendelkezésre bocsátja, köztük a harmadik ország kormányával, a harmadik ország területével vagy meghatározott ágazatával, illetve a nemzetközi szervezettel folytatott levélváltást.

(2)   A Bizottság, ha tanácsot kér a Testülettől, az ügy sürgősségét figyelembe véve erre határidőt jelölhet meg.

(3)   A Testület továbbítja véleményeit, iránymutatásait, ajánlásait és legjobb gyakorlatait a Bizottságnak és az 58. cikk (1) bekezdésében említett bizottságnak, és nyilvánosságra hozza azokat.

(4)   A Bizottság tájékoztatja a Testületet arról, hogy milyen intézkedéseket hozott a Testület által kibocsátott vélemények, iránymutatások, ajánlások és legjobb gyakorlatok nyomán.

VIII. FEJEZET

Jogorvoslat, felelősség és szankciók

52. cikk

A felügyeleti hatóságnál történő panasztételhez való jog

(1)   Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül a tagállamok előírják, hogy minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az ezen irányelv alapján elfogadott rendelkezéseket.

(2)   A tagállamok előírják, hogy amennyiben a panaszt nem a 45. cikk (1) bekezdése szerint illetékes felügyeleti hatósághoz nyújtják be, akkor az a felügyeleti hatóság, amelyhez a panaszt benyújtották, indokolatlan késedelem nélkül továbbítja azt az illetékes felügyeleti hatósághoz. A továbbításról az érintettet tájékoztatni kell.

(3)   A tagállamok előírják, hogy az a felügyeleti hatóság, amelyhez a panaszt benyújtották, az érintett kérésére további segítséget nyújt.

(4)   Az illetékes felügyeleti hatóság tájékoztatja az érintettet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy az 53. cikk szerint jogosult bírósági jogorvoslattal élni.

53. cikk

A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog

(1)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül a tagállamok úgy rendelkeznek, hogy minden természetes és jogi személy hatékony bírósági jogorvoslatra jogosult a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.

(2)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül minden érintett hatékony bírósági jogorvoslatra jogosult, ha a 45. cikk (1) bekezdése alapján illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet az 52. cikknek megfelelően benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.

(3)   A tagállamok előírják, hogy a felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani.

54. cikk

Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog

A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 52. cikk szerinti jog – sérelme nélkül, a tagállamok előírják, hogy az érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint, a személyes adatainak az ezen irányelv alapján elfogadott rendelkezésekkel ellentétes kezelése következtében megsértették az e rendelkezések szerinti jogait.

55. cikk

Az érintettek képviselete

A tagállamok a tagállami eljárási joggal összhangban rendelkeznek arról, hogy az érintett jogosult arra, hogy panaszának nevében történő benyújtásával, és az 52., 53. és 54. cikkben említett jogoknak a nevében történő gyakorlásával olyan nonprofit jellegű szervet, szervezetet vagy egyesületet bízzon meg, amelyet valamely tagállam jogának megfelelően hoztak létre, és amelynek alapszabályában rögzített céljai a közérdeket szolgálják, és amely az érintettek jogainak és szabadságainak a személyes adataik vonatkozásában biztosított védelme területén tevékenykedik.

56. cikk

A kártérítéshez való jog

A tagállamok előírják, hogy minden olyan személy, aki jogszerűtlen adatkezelési művelet vagy az ezen irányelv alapján elfogadott nemzeti rendelkezéseket sértő egyéb intézkedés eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy a tagállami jog szerint illetékes bármely más hatóságtól kártérítésre jogosult.

57. cikk

Szankciók

A tagállamok megállapítják az ezen irányelv alapján elfogadott rendelkezések megsértése esetén alkalmazandó szankciókra vonatkozó szabályokat, és meghoznak minden szükséges intézkedést ezek végrehajtására. Az előírt szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük.

IX. FEJEZET

Végrehajtási jogi aktusok

58. cikk

A bizottsági eljárás

(1)   A Bizottságot az (EU) 2016/679 rendelet 93. cikkével létrehozott bizottság segíti. Ez a bizottság a 182/2011/EU rendelet szerinti bizottságnak minősül.

(2)   Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 5. cikkét kell alkalmazni.

(3)   Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 8. cikkét kell alkalmazni, összefüggésben annak 5. cikkével.

X. FEJEZET

Záró rendelkezések

59. cikk

A 2008/977/IB kerethatározat hatályon kívül helyezése

(1)   A 2008/977/IB tanácsi kerethatározat 2018. május 6-ával hatályát veszti.

(2)   Az (1) bekezdésben említett, hatályon kívül helyezett kerethatározatra történő hivatkozásokat ezen irányelvre való hivatkozásnak kell tekinteni.

60. cikk

Hatályban lévő uniós jogi aktusok

Változatlanul hatályban maradnak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén 2016. május 6-án vagy azt megelőzően hatályba lépett, a személyes adatok védelmére vonatkozó uniós jogi aktusok olyan különös rendelkezései, amelyek a tagállamok közötti adatkezelést és a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott, ezen irányelv hatálya alá tartozó információs rendszerekhez való hozzáférését szabályozzák.

61. cikk

Kapcsolat a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén korábban megkötött nemzetközi megállapodásokkal

A tagállamok által a 2016. május 6. előtt kötött olyan nemzetközi megállapodások, amelyek keretében harmadik országok vagy nemzetközi szervezetek részére személyes adatok továbbítására kerül sor, és amelyek megfelelnek az említett időpontot megelőzően alkalmazandó uniós jognak, módosításukig, felváltásukig vagy visszavonásukig változatlanul hatályban maradnak.

62. cikk

A Bizottság jelentései

(1)   A Bizottság legkésőbb 2022. május 6-ig, ezt követően pedig négyévente rendszeres időközönként jelentést terjeszt az Európai Parlament és a Tanács elé ezen irányelv értékeléséről és felülvizsgálatáról. E jelentéseket nyilvánosságra kell hozni.

(2)   Az (1) bekezdésben említett értékelések és felülvizsgálatok keretében a Bizottság mindenekelőtt a személyes adatok harmadik országok vagy nemzetközi szervezetek részére történő továbbításáról szóló V. fejezetben foglalt rendelkezések alkalmazását és hatékonyságát vizsgálja, különös tekintettel a 36. cikk (3) bekezdése és a 39. cikk alapján elfogadott határozatokra.

(3)   A Bizottság az (1) és a (2) bekezdésben említett célokból információkat kérhet a tagállamoktól és a felügyeleti hatóságoktól.

(4)   A Bizottság az (1) és a (2) bekezdésben említett értékelések és felülvizsgálatok elvégzése során figyelembe veszi az Európai Parlament, a Tanács és az egyéb érintett szervek vagy források álláspontját és megállapításait.

(5)   A Bizottság szükség esetén megfelelő javaslatokat nyújt be ezen irányelv módosítására, figyelembe véve különösen az információs technológia fejlődését és az információs társadalom fejlődési szintjét.

(6)   A Bizottság 2019. május 6-ig felülvizsgálja az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból végzett adatkezelést szabályozó egyéb – többek között a 60. cikkben említett – uniós jogi aktusokat, annak érdekében, hogy megvizsgálja, hogy szükséges-e azokat ezen irányelvhez igazítani, valamint hogy adott esetben megtegye az említett jogi aktusok módosítására irányuló szükséges javaslatokat azzal a céllal, hogy az irányelv hatályán belül biztosított legyen a személyes adatok védelmének következetes megközelítése.

63. cikk

Átültetés

(1)   A tagállamok 2018. május 6-ig elfogadják és kihirdetik azokat a törvényi, rendeleti és közigazgatási rendelkezéseket, amelyek szükségesek ahhoz, hogy ennek az irányelvnek megfeleljenek. E rendelkezések szövegét haladéktalanul közlik a Bizottsággal. A tagállamok ezeket a rendelkezéseket 2018. május 6-tól kezdődően alkalmazzák.

Amikor a tagállamok elfogadják ezeket a rendelkezéseket, azokban hivatkozni kell erre az irányelvre, vagy azokhoz hivatalos kihirdetésük alkalmával ilyen hivatkozást kell fűzni. A hivatkozás módját a tagállamok határozzák meg.

(2)   A tagállamok az (1) bekezdéstől eltérve rendelkezhetnek úgy, hogy – amennyiben az aránytalanul nagy erőfeszítést igényel – a 2016. május 6-át megelőzően létrehozott automatizált adatkezelési rendszereket kivételesen 2023. május 6-ig feleltetik meg a 25. cikk (1) bekezdésének.

(3)   E cikk (1) és (2) bekezdésétől eltérve kivételes körülmények között a tagállam az e cikk (2) bekezdésében említett automatizált adatkezelési rendszerét az e cikk (2) bekezdésében említett időtartamot követő meghatározott időn belül is megfeleltetheti a 25. cikk (1) bekezdésének, ha különben komoly nehézségek lépnének fel az adott automatizált adatkezelési rendszer működésében. Az érintett tagállamnak értesítenie kell a Bizottságot a komoly nehézségek okairól és annak az időtartamnak az indokolásáról, amelyen belül a tagállam az adott automatizált adatkezelési rendszert megfelelteti a 25. cikk (1) bekezdésének. Ez a meghatározott időtartam záró időpontja semmilyen körülmények között nem lehet később, mint 2026. május 6.

(4)   A tagállamok közlik a Bizottsággal a nemzeti jog azon főbb rendelkezéseit, amelyeket az ezen irányelv által szabályozott területen fogadnak el.

64. cikk

Hatálybalépés

Ez az irányelv az Európai Unió Hivatalos Lapjában való kihirdetését követő napon lép hatályba.

Európai Unió Hivatalos Lapjában

65. cikk

Címzettek

Ennek az irányelvnek a tagállamok a címzettjei.

Kelt Brüsszelben, 2016. április 27-én.

az Európai Parlament részéről

az elnök

M. SCHULZ

a Tanács részéről

az elnök

J.A. HENNIS-PLASSCHAERT

---

(1)  
  HL C 391., 2012.12.18., 127. o.

1

(2)  Az Európai Parlament 2014. március 12-i álláspontja (a Hivatalos Lapban még nem tették közzé) és a Tanács 2016. április 8-i álláspontja első olvasatban (a Hivatalos Lapban még nem tették közzé). Az Európai Parlament 2016. április 14-i álláspontja.

2

(3)  Az Európai Parlament és a Tanács 95/46/EK irányelve (1995. október 24.) a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (HL L 281., 1995.11.23., 31. o.).

3

(4)  A Tanács 2008/977/IB kerethatározata (2008. november 27.) a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről (HL L 350., 2008.12.30., 60. o.).

4

(5)  Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) (lásd e Hivatalos Lap 1. oldalát).

5

(6)  Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról (HL L 8., 2001.1.12., 1. o.).

6

(7)  Az Európai Parlament és a Tanács 2011/24/EU irányelve (2011. március 9.) a határon átnyúló egészségügyi ellátásra vonatkozó betegjogok érvényesítéséről (HL L 88., 2011.4.4., 45. o.).

7

(8)  A Tanács 2005/69/IB közös álláspontja (2005. január 24.) egyes adatoknak az Interpollal történő cseréjéről (HL L 27., 2005.1.29., 61. o.).

8

(9)  A Tanács 2007/533/IB határozata (2007. június 12.) a Schengeni Információs Rendszer második generációjának (SIS II) létrehozásáról, működtetéséről és használatáról (HL L 205., 2007.8.7., 63. o.).

9

(10)  A Tanács 77/249/EGK irányelve (1977. március 22.) az ügyvédi szolgáltatásnyújtás szabadsága tényleges gyakorlásának elősegítéséről (HL L 78., 1977.3.26., 17. o.).

10

(11)  Az Európai Parlament és a Tanács 182/2011/EU rendelete (2011. február 16.) a Bizottság végrehajtási hatásköreinek gyakorlására vonatkozó tagállami ellenőrzési mechanizmusok szabályainak és általános elveinek megállapításáról (HL L 55., 2011.2.28., 13. o.).

11

(12)  A Tanács 2008/615/IB határozata (2008. június 23.) a különösen a terrorizmus és a határokon átnyúló bűnözés elleni küzdelemre irányuló, határokon átnyúló együttműködés megerősítéséről (HL L 210., 2008.8.6., 1. o.).

12

(13)  A Tanács jogi aktusa (2000. május 29.) az Európai Unió tagállamai közötti kölcsönös bűnügyi jogsegélyegyezménynek az Európai Unióról szóló szerződés 34. cikke szerinti létrehozásáról (HL C 197., 2000.7.12., 1. o.).

13

(14)  Az Európai Parlament és a Tanács 2011/93/EU irányelve (2011. december 13.) a gyermekek szexuális bántalmazása, szexuális kizsákmányolása és a gyermekpornográfia elleni küzdelemről, valamint a 2004/68/IB tanácsi kerethatározat felváltásáról (HL L 335., 2011.12.17., 1. o.).

14

(15)  
  HL L 176., 1999.7.10., 36. o.

15

(16)  
  HL L 53., 2008.2.27., 52. o.

16

(17)  
  HL L 160., 2011.6.18., 21. o.

17

(18)  
  HL C 192., 2012.6.30., 7. o.

18

---

| 2016.5.4. | HU | Az Európai Unió Hivatalos Lapja | L 119/132 |
| --- | --- | --- | --- |

2016.5.4.

HU

Az Európai Unió Hivatalos Lapja

L 119/132

---

AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/681 IRÁNYELVE

(2016. április 27.)

az utas-nyilvántartási adatállománynak (PNR) a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és a vádeljárás lefolytatása érdekében történő felhasználásáról

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 82. cikke (1) bekezdésének d) pontjára, valamint 87. cikke (2) bekezdésének a) pontjára,

tekintettel az Európai Bizottság javaslatára,

a jogalkotási aktus tervezetének a nemzeti parlamenteknek való továbbítását követően,

tekintettel az Európai Gazdasági és Szociális Bizottság véleményére (1),

a Régiók Bizottságával folytatott konzultációt követően,

rendes jogalkotási eljárás keretében (2),

mivel:

| (1) | 2007. november 6-án a Bizottság elfogadta az utas-nyilvántartási adatállománynak (PNR) bűnüldözési célú felhasználásáról szóló tanácsi kerethatározatra vonatkozó javaslatot. A Lisszaboni Szerződés 2009. december 1-jei hatálybalépésével azonban a Tanács által még el nem fogadott bizottsági javaslat elavulttá vált. |
| --- | --- |

(1)

2007. november 6-án a Bizottság elfogadta az utas-nyilvántartási adatállománynak (PNR) bűnüldözési célú felhasználásáról szóló tanácsi kerethatározatra vonatkozó javaslatot. A Lisszaboni Szerződés 2009. december 1-jei hatálybalépésével azonban a Tanács által még el nem fogadott bizottsági javaslat elavulttá vált.

| (2) | „A stockholmi program – A polgárokat szolgáló és védő, nyitott és biztonságos Európa” című dokumentumban (3) az Európai Tanács felszólította a Bizottságot, hogy terjesszen elő javaslatot a PNR-adatoknak a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése érdekében történő felhasználására. |
| --- | --- |

(2)

„A stockholmi program – A polgárokat szolgáló és védő, nyitott és biztonságos Európa” című dokumentumban (3) az Európai Tanács felszólította a Bizottságot, hogy terjesszen elő javaslatot a PNR-adatoknak a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése érdekében történő felhasználására.

| (3) | A Bizottság az utas-nyilvántartási adatállomány (PNR) adatainak harmadik országok részére történő továbbításával kapcsolatos általános megközelítésről szóló, 2010. szeptember 21-i közleményében vázolta az e területre vonatkozó uniós politika számos alapelemét. |
| --- | --- |

(3)

A Bizottság az utas-nyilvántartási adatállomány (PNR) adatainak harmadik országok részére történő továbbításával kapcsolatos általános megközelítésről szóló, 2010. szeptember 21-i közleményében vázolta az e területre vonatkozó uniós politika számos alapelemét.

| (4) | A 2004/82/EK tanácsi irányelv (4) szabályozza az előzetes utasinformációs adatok (API) légi fuvarozók általi továbbítását az illetékes nemzeti hatóságok részére a határellenőrzés javítása és az illegális bevándorlás elleni küzdelem érdekében. |
| --- | --- |

(4)

A 2004/82/EK tanácsi irányelv (4) szabályozza az előzetes utasinformációs adatok (API) légi fuvarozók általi továbbítását az illetékes nemzeti hatóságok részére a határellenőrzés javítása és az illegális bevándorlás elleni küzdelem érdekében.

| (5) | Az irányelv céljai többek között a biztonság garantálása, a személyek életének és biztonságának szavatolása, továbbá az illetékes hatóságok által kezelt PNR-adatok védelmét biztosító jogi keret létrehozása. |
| --- | --- |

(5)

Az irányelv céljai többek között a biztonság garantálása, a személyek életének és biztonságának szavatolása, továbbá az illetékes hatóságok által kezelt PNR-adatok védelmét biztosító jogi keret létrehozása.

| (6) | A PNR-adatok hatékony alkalmazása, például a PNR-adatoknak a körözés alatt álló személyekre és tárgyakra vonatkozó különböző adatbázisokkal történő összevetése, elengedhetetlen a terrorista bűncselekmények és a súlyos bűncselekmények megelőzéséhez, felderítéséhez, kivizsgálásához és üldözéséhez, és ezáltal a belső biztonság fokozásához, bizonyíték gyűjtéséhez, valamint adott esetben bűntársak felderítéséhez, és a bűnözői hálózatok felszámolásához. |
| --- | --- |

(6)

A PNR-adatok hatékony alkalmazása, például a PNR-adatoknak a körözés alatt álló személyekre és tárgyakra vonatkozó különböző adatbázisokkal történő összevetése, elengedhetetlen a terrorista bűncselekmények és a súlyos bűncselekmények megelőzéséhez, felderítéséhez, kivizsgálásához és üldözéséhez, és ezáltal a belső biztonság fokozásához, bizonyíték gyűjtéséhez, valamint adott esetben bűntársak felderítéséhez, és a bűnözői hálózatok felszámolásához.

| (7) | A PNR-adatok értékelése lehetővé teszi az olyan személyek beazonosítását, akiket nem gyanúsítottak terrorista bűncselekmények elkövetésével vagy súlyos bűncselekményben való részvétellel azelőtt, hogy az ilyen értékelés arra utalt volna, hogy e személyek ilyen bűncselekmény elkövetésében érintettek lehetnek, és akiket ezért az illetékes hatóságok általi további vizsgálatnak kell alávetni. A PNR-adatok felhasználásával a terrorista bűncselekmények és súlyos bűncselekmények jelentette fenyegetést a személyes adatok egyéb kategóriáinak kezelésétől eltérő szempontból lehet megközelíteni. Annak biztosítása érdekében azonban, hogy a PNR adatok kezelése csak a legszükségesebbre korlátozódjon, az értékelési kritériumok létrehozása és alkalmazása olyan terrorista bűncselekmények és a súlyos bűncselekmények tényállásaira kell korlátozni, amelyek esetében releváns az említett kritériumok alkalmazása. Ezen túlmenően az értékelési kritériumokat oly módon kell meghatározni, hogy a rendszer garantáltan a lehető legkevesebb ártatlan személyt azonosítson be tévesen. |
| --- | --- |

(7)

A PNR-adatok értékelése lehetővé teszi az olyan személyek beazonosítását, akiket nem gyanúsítottak terrorista bűncselekmények elkövetésével vagy súlyos bűncselekményben való részvétellel azelőtt, hogy az ilyen értékelés arra utalt volna, hogy e személyek ilyen bűncselekmény elkövetésében érintettek lehetnek, és akiket ezért az illetékes hatóságok általi további vizsgálatnak kell alávetni. A PNR-adatok felhasználásával a terrorista bűncselekmények és súlyos bűncselekmények jelentette fenyegetést a személyes adatok egyéb kategóriáinak kezelésétől eltérő szempontból lehet megközelíteni. Annak biztosítása érdekében azonban, hogy a PNR adatok kezelése csak a legszükségesebbre korlátozódjon, az értékelési kritériumok létrehozása és alkalmazása olyan terrorista bűncselekmények és a súlyos bűncselekmények tényállásaira kell korlátozni, amelyek esetében releváns az említett kritériumok alkalmazása. Ezen túlmenően az értékelési kritériumokat oly módon kell meghatározni, hogy a rendszer garantáltan a lehető legkevesebb ártatlan személyt azonosítson be tévesen.

| (8) | A légi fuvarozók saját kereskedelmi céljaikra már ma is gyűjtenek és kezelnek utasaikra vonatkozó PNR-adatokat. Ez az irányelv nem kötelezheti a légi fuvarozókat arra, hogy az utasoktól további információkat gyűjtsenek vagy őrizzenek meg, és az utasokat sem kötelezheti arra, hogy a légi fuvarozók részére már szolgáltatott adatokon kívül további adatokat szolgáltassanak. |
| --- | --- |

(8)

A légi fuvarozók saját kereskedelmi céljaikra már ma is gyűjtenek és kezelnek utasaikra vonatkozó PNR-adatokat. Ez az irányelv nem kötelezheti a légi fuvarozókat arra, hogy az utasoktól további információkat gyűjtsenek vagy őrizzenek meg, és az utasokat sem kötelezheti arra, hogy a légi fuvarozók részére már szolgáltatott adatokon kívül további adatokat szolgáltassanak.

| (9) | Egyes légi fuvarozók az API-adatokat a PNR-adatok részeként gyűjtik, mások azonban nem. A PNR-adatoknak az API-adatokkal történő együttes használata hozzáadott értékkel bír, mivel segíti a tagállamokat a személyazonosság megállapításában, így megerősíti a kapott eredmény rendészeti és bűnüldözési értékét, valamint minimálisra csökkenti annak a kockázatát, hogy ártatlan személyek vonatkozásában sor kerüljön adatok összevetésére és nyomozati cselekményekre. Ennélfogva fontos biztosítani, hogy amennyiben a légi fuvarozók API-adatokat gyűjtenek, kötelesek azokat továbbítani, függetlenül attól, hogy az API-adatokat technikailag elkülönített módon, a PNR-adatok részeként őrzik-e meg. |
| --- | --- |

(9)

Egyes légi fuvarozók az API-adatokat a PNR-adatok részeként gyűjtik, mások azonban nem. A PNR-adatoknak az API-adatokkal történő együttes használata hozzáadott értékkel bír, mivel segíti a tagállamokat a személyazonosság megállapításában, így megerősíti a kapott eredmény rendészeti és bűnüldözési értékét, valamint minimálisra csökkenti annak a kockázatát, hogy ártatlan személyek vonatkozásában sor kerüljön adatok összevetésére és nyomozati cselekményekre. Ennélfogva fontos biztosítani, hogy amennyiben a légi fuvarozók API-adatokat gyűjtenek, kötelesek azokat továbbítani, függetlenül attól, hogy az API-adatokat technikailag elkülönített módon, a PNR-adatok részeként őrzik-e meg.

| (10) | Ezért a terrorista bűncselekmények és súlyos bűncselekmények megelőzéséhez, felderítéséhez, nyomozásához és üldözéséhez elengedhetetlen, hogy minden tagállam olyan rendelkezéseket hozzon, amelyek előírják az EU-n kívüli légi járatokat üzemeltető légi fuvarozók által gyűjtött PNR adatok, ideértve az API-adatok továbbítását. A tagállamok lehetőséget kapnak arra is, hogy ezt a kötelezettséget kiterjesszék az EU-n belüli légi járatokat üzemeltető légi fuvarozókra is. E rendelkezések nem érinthetik a 2004/82/EK irányelvet. |
| --- | --- |

(10)

Ezért a terrorista bűncselekmények és súlyos bűncselekmények megelőzéséhez, felderítéséhez, nyomozásához és üldözéséhez elengedhetetlen, hogy minden tagállam olyan rendelkezéseket hozzon, amelyek előírják az EU-n kívüli légi járatokat üzemeltető légi fuvarozók által gyűjtött PNR adatok, ideértve az API-adatok továbbítását. A tagállamok lehetőséget kapnak arra is, hogy ezt a kötelezettséget kiterjesszék az EU-n belüli légi járatokat üzemeltető légi fuvarozókra is. E rendelkezések nem érinthetik a 2004/82/EK irányelvet.

| (11) | A személyes adatok kezelésének az ezen irányelv által kitűzött egyedi biztonsági célokkal arányosnak kell lennie. |
| --- | --- |

(11)

A személyes adatok kezelésének az ezen irányelv által kitűzött egyedi biztonsági célokkal arányosnak kell lennie.

| (12) | A terrorista bűncselekmény ebben az irányelvben szereplő fogalommeghatározásának a 2002/475/IB tanácsi kerethatározatban (5) szereplő fogalommeghatározással meg kell egyeznie. A súlyos bűncselekmény fogalommeghatározásának pedig az ezen irányelv II. mellékletében felsorolt bűncselekményi tényállásokat kell tartalmaznia. |
| --- | --- |

(12)

A terrorista bűncselekmény ebben az irányelvben szereplő fogalommeghatározásának a 2002/475/IB tanácsi kerethatározatban (5) szereplő fogalommeghatározással meg kell egyeznie. A súlyos bűncselekmény fogalommeghatározásának pedig az ezen irányelv II. mellékletében felsorolt bűncselekményi tényállásokat kell tartalmaznia.

| (13) | A PNR-adatokat az egyértelműség és a légi fuvarozókat terhelő költségek csökkentése érdekében az adott tagállamban egyetlen kijelölt egységhez (utas-adat információs egység) kell továbbítani. Az utas-adat információs egység egy tagállamon belül több különböző szervezeti egységgel is rendelkezhet, és a tagállamok közösen is létrehozhatnak egy utas-adat információs egységet. A tagállamok a megfelelő információcsere-hálózatokon keresztül cserélik ki egymással az információkat annak érdekében, hogy megkönnyítsék az információk cseréjét és biztosítsák az interoperabilitást. |
| --- | --- |

(13)

A PNR-adatokat az egyértelműség és a légi fuvarozókat terhelő költségek csökkentése érdekében az adott tagállamban egyetlen kijelölt egységhez (utas-adat információs egység) kell továbbítani. Az utas-adat információs egység egy tagállamon belül több különböző szervezeti egységgel is rendelkezhet, és a tagállamok közösen is létrehozhatnak egy utas-adat információs egységet. A tagállamok a megfelelő információcsere-hálózatokon keresztül cserélik ki egymással az információkat annak érdekében, hogy megkönnyítsék az információk cseréjét és biztosítsák az interoperabilitást.

| (14) | A PNR-adatok felhasználásának, megőrzésének és cseréjének költségeit a tagállamok viselik. |
| --- | --- |

(14)

A PNR-adatok felhasználásának, megőrzésének és cseréjének költségeit a tagállamok viselik.

| (15) | Az utas-adat információs egység által beszerzendő, szükséges PNR-adatokat felsoroló listák tartalmát úgy kell megállapítani, hogy az tükrözze a hatóságok jogos elvárásait a terrorista bűncselekmények vagy súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése terén, és így javítsa az Unió belső biztonságát, továbbá biztosítsa az alapvető jogok, nevezetesen a magánélet tiszteletben tartásához és a személyes adatok védelméhez való jog védelmét. Ennek érdekében az Európai Unió Alapjogi Chartájával (Charta), az egyéneknek a személyes adataik gépi feldolgozása során való védelméről szóló egyezménnyel (108. sz. egyezmény), valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezménnyel (EJEE) összhangban magas szintű normákat kell alkalmazni. Az ilyen listák nem alapulhatnak a személyek faji vagy etnikai hovatartozásán, vallási vagy világnézeti meggyőződésén, politikai vagy egyéb véleményén, szakszervezeti tagságán, egészségi állapotán vagy szexuális életén vagy szexuális irányultságán. A PNR-adatok kizárólag az utas helyfoglalásával és útvonalával kapcsolatos információkat tartalmazzák annak érdekében, hogy az illetékes hatóságok a belső biztonságra fenyegetést jelentő légi utasokat be tudják azonosítani. |
| --- | --- |

(15)

Az utas-adat információs egység által beszerzendő, szükséges PNR-adatokat felsoroló listák tartalmát úgy kell megállapítani, hogy az tükrözze a hatóságok jogos elvárásait a terrorista bűncselekmények vagy súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése terén, és így javítsa az Unió belső biztonságát, továbbá biztosítsa az alapvető jogok, nevezetesen a magánélet tiszteletben tartásához és a személyes adatok védelméhez való jog védelmét. Ennek érdekében az Európai Unió Alapjogi Chartájával (Charta), az egyéneknek a személyes adataik gépi feldolgozása során való védelméről szóló egyezménnyel (108. sz. egyezmény), valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezménnyel (EJEE) összhangban magas szintű normákat kell alkalmazni. Az ilyen listák nem alapulhatnak a személyek faji vagy etnikai hovatartozásán, vallási vagy világnézeti meggyőződésén, politikai vagy egyéb véleményén, szakszervezeti tagságán, egészségi állapotán vagy szexuális életén vagy szexuális irányultságán. A PNR-adatok kizárólag az utas helyfoglalásával és útvonalával kapcsolatos információkat tartalmazzák annak érdekében, hogy az illetékes hatóságok a belső biztonságra fenyegetést jelentő légi utasokat be tudják azonosítani.

| (16) | Jelenleg kétféle lehetséges adattovábbítási módszer áll rendelkezésre: a „pull” módszer, amely által a tagállam PNR adatokat igénylő illetékes hatóságai hozzáféréssel rendelkeznek a légi fuvarozó helyfoglalási rendszeréhez, és a kért PNR adatok egy példányát lekérik a rendszerből, valamint a „push” módszer, amely által a légi fuvarozók továbbítják a szükséges PNR-adatokat az azokat kérő hatóság részére, és így a légi fuvarozók fenntarthatják az ellenőrzést a szolgáltatott PNR adatok köre felett. A „push” módszer adatvédelmi szempontból magasabb szintűnek tekinthető, ezért ezt valamennyi légi fuvarozó számára kötelezővé kell tenni. |
| --- | --- |

(16)

Jelenleg kétféle lehetséges adattovábbítási módszer áll rendelkezésre: a „pull” módszer, amely által a tagállam PNR adatokat igénylő illetékes hatóságai hozzáféréssel rendelkeznek a légi fuvarozó helyfoglalási rendszeréhez, és a kért PNR adatok egy példányát lekérik a rendszerből, valamint a „push” módszer, amely által a légi fuvarozók továbbítják a szükséges PNR-adatokat az azokat kérő hatóság részére, és így a légi fuvarozók fenntarthatják az ellenőrzést a szolgáltatott PNR adatok köre felett. A „push” módszer adatvédelmi szempontból magasabb szintűnek tekinthető, ezért ezt valamennyi légi fuvarozó számára kötelezővé kell tenni.

| (17) | A Bizottság támogatja a Nemzetközi Polgári Repülési Szervezet (ICAO) PNR-adatokra vonatkozó iránymutatásait. Ezeket az iránymutatásokat kell tehát alapul venni a légi fuvarozók által a tagállamok részére továbbítandó PNR-adatok támogatott adatátviteli formátumának meghatározásakor. A támogatott adatátviteli formátumok, valamint a légi fuvarozók általi adattovábbításra vonatkozó megfelelő protokollok végrehajtására vonatkozó egységes feltételek biztosítása érdekében, a Bizottságra végrehajtási hatásköröket kell ruházni. Ezeket a végrehajtási hatásköröket a 182/2011/EU európai parlamenti és tanácsi rendeletnek (6) megfelelően kell gyakorolni. |
| --- | --- |

(17)

A Bizottság támogatja a Nemzetközi Polgári Repülési Szervezet (ICAO) PNR-adatokra vonatkozó iránymutatásait. Ezeket az iránymutatásokat kell tehát alapul venni a légi fuvarozók által a tagállamok részére továbbítandó PNR-adatok támogatott adatátviteli formátumának meghatározásakor. A támogatott adatátviteli formátumok, valamint a légi fuvarozók általi adattovábbításra vonatkozó megfelelő protokollok végrehajtására vonatkozó egységes feltételek biztosítása érdekében, a Bizottságra végrehajtási hatásköröket kell ruházni. Ezeket a végrehajtási hatásköröket a 182/2011/EU európai parlamenti és tanácsi rendeletnek (6) megfelelően kell gyakorolni.

| (18) | A tagállamoknak minden szükséges intézkedést megkell tenniük annak érdekében, hogy a légi fuvarozók az ebből az irányelvből fakadó kötelezettségeiket be tudják tartani. A tagállamoknak hatékony, arányos és visszatartó erejű szankciókat – többet között pénzügyi szankciókat – kell előírniuk a PNR-adatszolgáltatási kötelezettségük betartását elmulasztó légi fuvarozókkal szemben. |
| --- | --- |

(18)

A tagállamoknak minden szükséges intézkedést megkell tenniük annak érdekében, hogy a légi fuvarozók az ebből az irányelvből fakadó kötelezettségeiket be tudják tartani. A tagállamoknak hatékony, arányos és visszatartó erejű szankciókat – többet között pénzügyi szankciókat – kell előírniuk a PNR-adatszolgáltatási kötelezettségük betartását elmulasztó légi fuvarozókkal szemben.

| (19) | Valamennyi tagállamnak kötelessége, hogy értékelje a terrorista bűncselekményekkel vagy súlyos bűncselekményekkel kapcsolatos potenciális fenyegetéseket. |
| --- | --- |

(19)

Valamennyi tagállamnak kötelessége, hogy értékelje a terrorista bűncselekményekkel vagy súlyos bűncselekményekkel kapcsolatos potenciális fenyegetéseket.

| (20) | A személyes adatok védelméhez való jog és az egyenlő bánásmódhoz való jog teljes tiszteletben tartása mellett kizárólag a PNR-adatok automatizált kezelésének eredményeként nem hozható olyan döntés, amely egyes személyekre nézve hátrányos joghatással jár, vagy őket jelentős mértékben érinti. Ezen túlmenően, az ilyen döntések – tekintettel a Charta 8. és 21. cikkére – nem tehetnek semmilyen megkülönböztetést például nem, faj, szín, etnikai vagy társadalmi származás, genetikai tulajdonság, nyelv, vallás vagy meggyőződés, politikai vagy más vélemény, nemzeti kisebbséghez tartozás, vagyoni helyzet, születés, fogyatékosság, kor vagy szexuális irányultság alapján. A Bizottság ezeket az elveket az irányelv alkalmazásának felülvizsgálatakor figyelembe veszi. |
| --- | --- |

(20)

A személyes adatok védelméhez való jog és az egyenlő bánásmódhoz való jog teljes tiszteletben tartása mellett kizárólag a PNR-adatok automatizált kezelésének eredményeként nem hozható olyan döntés, amely egyes személyekre nézve hátrányos joghatással jár, vagy őket jelentős mértékben érinti. Ezen túlmenően, az ilyen döntések – tekintettel a Charta 8. és 21. cikkére – nem tehetnek semmilyen megkülönböztetést például nem, faj, szín, etnikai vagy társadalmi származás, genetikai tulajdonság, nyelv, vallás vagy meggyőződés, politikai vagy más vélemény, nemzeti kisebbséghez tartozás, vagyoni helyzet, születés, fogyatékosság, kor vagy szexuális irányultság alapján. A Bizottság ezeket az elveket az irányelv alkalmazásának felülvizsgálatakor figyelembe veszi.

| (21) | A PNR-adatok kezeléséből származó eredményeket a tagállamok semmilyen körülmények között nem használhatják fel indokként arra, hogy megkerüljék az 1967. január 31-i jegyzőkönyvvel módosított, a menekültek jogállásáról szóló 1951. július 28-i évi genfi egyezmény és annak 1967. évi jegyzőkönyve szerinti nemzetközi kötelezettségeiket, sem pedig arra, hogy a menedékkérőktől megtagadják az Unió területére való belépés biztonságos és eredményes, legális csatornáit, amelyek révén gyakorolhatják nemzetközi védelemhez való jogukat. |
| --- | --- |

(21)

A PNR-adatok kezeléséből származó eredményeket a tagállamok semmilyen körülmények között nem használhatják fel indokként arra, hogy megkerüljék az 1967. január 31-i jegyzőkönyvvel módosított, a menekültek jogállásáról szóló 1951. július 28-i évi genfi egyezmény és annak 1967. évi jegyzőkönyve szerinti nemzetközi kötelezettségeiket, sem pedig arra, hogy a menedékkérőktől megtagadják az Unió területére való belépés biztonságos és eredményes, legális csatornáit, amelyek révén gyakorolhatják nemzetközi védelemhez való jogukat.

| (22) | Az Európai Unió Bíróságának idevágó közelmúltbeli ítélkezési gyakorlatában körvonalazódó elvek teljes mértékben történő figyelembevételével, ez az irányelv alkalmazása biztosítja az alapvető jogok, a magánélethez való jog és az arányosság elvének teljes körű tiszteletben tartását. Továbbá az Unió által elismert általános érdekek érvényesülése érdekében a terrorista bűncselekmények és a súlyos bűnözés elleni küzdelem során ténylegesen teljesíti a szükségesség és az arányosság céljait, és védi mások jogait és szabadságait. Ezen irányelv alkalmazását kellően indokolni kell, a szükséges biztosítékoknak pedig rendelkezésre kell állniuk annak biztosítása érdekében, hogy a PNR-adatok bármely tárolása, értékelése, továbbítása és felhasználása jogszerű legyen. |
| --- | --- |

(22)

Az Európai Unió Bíróságának idevágó közelmúltbeli ítélkezési gyakorlatában körvonalazódó elvek teljes mértékben történő figyelembevételével, ez az irányelv alkalmazása biztosítja az alapvető jogok, a magánélethez való jog és az arányosság elvének teljes körű tiszteletben tartását. Továbbá az Unió által elismert általános érdekek érvényesülése érdekében a terrorista bűncselekmények és a súlyos bűnözés elleni küzdelem során ténylegesen teljesíti a szükségesség és az arányosság céljait, és védi mások jogait és szabadságait. Ezen irányelv alkalmazását kellően indokolni kell, a szükséges biztosítékoknak pedig rendelkezésre kell állniuk annak biztosítása érdekében, hogy a PNR-adatok bármely tárolása, értékelése, továbbítása és felhasználása jogszerű legyen.

| (23) | A tagállamok a kapott PNR-adatokat egymás között és az Europolon keresztül kicserélik, amennyiben ezt a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és a vádeljárás lefolytatása érdekében szükségesnek tartják. Az utas-adat információs egységek adott esetben, további vizsgálat céljából a PNR-adatok kezeléséből származó eredményeket haladéktalanul továbbítják a többi tagállam utas-adat információs egységének. Ezen irányelv rendelkezései nem érinthetik a rendőrségi más rendészeti szervek és igazságügyi hatóságok közötti információcserére vonatkozó más uniós eszközöket, beleértve a 2009/371/IB tanácsi határozatot (7) és a 2006/960/IB tanácsi kerethatározatot (8). A rendészeti szervek és az igazságügyi hatóságok közötti ilyen jellegű PNR-adatcserére a rendőrségi és az igazságügyi együttműködésre vonatkozó szabályokat kell alkalmazni, továbbá ilyen adatcsere nem veszélyeztetheti a magánélet és a személyes adatok magas fokú védelmét a Chartában, a 108. egyezményben és az EJEE-ben előírtak szerint. |
| --- | --- |

(23)

A tagállamok a kapott PNR-adatokat egymás között és az Europolon keresztül kicserélik, amennyiben ezt a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és a vádeljárás lefolytatása érdekében szükségesnek tartják. Az utas-adat információs egységek adott esetben, további vizsgálat céljából a PNR-adatok kezeléséből származó eredményeket haladéktalanul továbbítják a többi tagállam utas-adat információs egységének. Ezen irányelv rendelkezései nem érinthetik a rendőrségi más rendészeti szervek és igazságügyi hatóságok közötti információcserére vonatkozó más uniós eszközöket, beleértve a 2009/371/IB tanácsi határozatot (7) és a 2006/960/IB tanácsi kerethatározatot (8). A rendészeti szervek és az igazságügyi hatóságok közötti ilyen jellegű PNR-adatcserére a rendőrségi és az igazságügyi együttműködésre vonatkozó szabályokat kell alkalmazni, továbbá ilyen adatcsere nem veszélyeztetheti a magánélet és a személyes adatok magas fokú védelmét a Chartában, a 108. egyezményben és az EJEE-ben előírtak szerint.

| (24) | A PNR-adatokkal kapcsolatos biztonságos információcserét a tagállamok körében az illetékes tagállami hatóságok közötti együttműködés bármely meglévő csatornáin keresztül, az Europollal pedig különösen az Europol által működtetett Biztonságos Információcsere Hálózati Alkalmazáson (SIENA) keresztül kell biztosítani. |
| --- | --- |

(24)

A PNR-adatokkal kapcsolatos biztonságos információcserét a tagállamok körében az illetékes tagállami hatóságok közötti együttműködés bármely meglévő csatornáin keresztül, az Europollal pedig különösen az Europol által működtetett Biztonságos Információcsere Hálózati Alkalmazáson (SIENA) keresztül kell biztosítani.

| (25) | A PNR-adatok megőrzési időtartamának olyan hosszúnak kell lennie, amely a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése érdekében szükséges és arányos. Az adatok és felhasználásuk jellege következtében a PNR-adatokat az értékelések elvégzése és a nyomozati cselekmények során történő felhasználásuk érdekében kellően hosszú ideig szükséges megőrizni. Az aránytalan felhasználás elkerülése érdekében, a kezdeti adatmegőrzési időszakot követően, az adatokat az adatelemek elrejtése útján személyazonosításra alkalmatlanná kell tenni. A legmagasabb szintű adatvédelem biztosítása érdekében a teljes PNR-adathoz való hozzáférés – amely az érintett közvetlen beazonosítását lehetővé teszi – csak nagyon szigorú és korlátozott feltételek esetén, a kezdeti adatmegőrzési időszak leteltét követően szabad lehetővé tenni. |
| --- | --- |

(25)

A PNR-adatok megőrzési időtartamának olyan hosszúnak kell lennie, amely a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése érdekében szükséges és arányos. Az adatok és felhasználásuk jellege következtében a PNR-adatokat az értékelések elvégzése és a nyomozati cselekmények során történő felhasználásuk érdekében kellően hosszú ideig szükséges megőrizni. Az aránytalan felhasználás elkerülése érdekében, a kezdeti adatmegőrzési időszakot követően, az adatokat az adatelemek elrejtése útján személyazonosításra alkalmatlanná kell tenni. A legmagasabb szintű adatvédelem biztosítása érdekében a teljes PNR-adathoz való hozzáférés – amely az érintett közvetlen beazonosítását lehetővé teszi – csak nagyon szigorú és korlátozott feltételek esetén, a kezdeti adatmegőrzési időszak leteltét követően szabad lehetővé tenni.

| (26) | Amennyiben konkrét PNR-adatokat továbbítottak valamely illetékes hatóságnak, és azokat egy adott bűnügyi nyomozás vagy a vádeljárás lefolytatása során használják fel, az ilyen adatoknak az illetékes hatóság általi megőrzésére a nemzeti jogot kell alkalmazni, figyelmen kívül hagyva az ebben az irányelvben meghatározott adatmegőrzési időszakokat. |
| --- | --- |

(26)

Amennyiben konkrét PNR-adatokat továbbítottak valamely illetékes hatóságnak, és azokat egy adott bűnügyi nyomozás vagy a vádeljárás lefolytatása során használják fel, az ilyen adatoknak az illetékes hatóság általi megőrzésére a nemzeti jogot kell alkalmazni, figyelmen kívül hagyva az ebben az irányelvben meghatározott adatmegőrzési időszakokat.

| (27) | Az egyes tagállamok utas-adat információs egységei és illetékes hatóságai általi, a PNR-adatok kezelésére az ezen hatóságok nemzeti joga szerinti, a személyes adatok védelmére vonatkozó olyan szintű előírásokat kell alkalmazni, amelyek a 2008/977/IB tanácsi kerethatározatnak (9) és az ezen irányelvben meghatározott különös adatvédelmi követelményeknek megfelelnek. A 2008/977/IB kerethatározatra történő hivatkozások úgy értendők, hogy azokkal a jelenleg hatályos jogszabályokra és a kerethatározat helyébe lépő jogszabályokra történik hivatkozás. |
| --- | --- |

(27)

Az egyes tagállamok utas-adat információs egységei és illetékes hatóságai általi, a PNR-adatok kezelésére az ezen hatóságok nemzeti joga szerinti, a személyes adatok védelmére vonatkozó olyan szintű előírásokat kell alkalmazni, amelyek a 2008/977/IB tanácsi kerethatározatnak (9) és az ezen irányelvben meghatározott különös adatvédelmi követelményeknek megfelelnek. A 2008/977/IB kerethatározatra történő hivatkozások úgy értendők, hogy azokkal a jelenleg hatályos jogszabályokra és a kerethatározat helyébe lépő jogszabályokra történik hivatkozás.

| (28) | Figyelemmel a személyes adatok védelméhez való jogra, az érintettek PNR-adataik kezelésével kapcsolatos jogainak, így a hozzáféréshez, a helyesbítéshez, a törléshez és a korlátozáshoz való jognak, továbbá a kártérítéshez és a bírósági jogorvoslathoz való jogoknak mind a 2008/977/IB kerethatározattal, mind a Charta és az EJEE által biztosított magas szintű védelemmel összhangban kell lenniük. |
| --- | --- |

(28)

Figyelemmel a személyes adatok védelméhez való jogra, az érintettek PNR-adataik kezelésével kapcsolatos jogainak, így a hozzáféréshez, a helyesbítéshez, a törléshez és a korlátozáshoz való jognak, továbbá a kártérítéshez és a bírósági jogorvoslathoz való jogoknak mind a 2008/977/IB kerethatározattal, mind a Charta és az EJEE által biztosított magas szintű védelemmel összhangban kell lenniük.

| (29) | Figyelemmel az utasoknak a személyes adataik kezelésére vonatkozó tájékoztatáshoz való jogára, a tagállamoknak biztosítják, hogy az utasok könnyen hozzáférhető és érthető, pontos tájékoztatást kapjanak a PNR-adatok gyűjtéséről és azoknak az utas-adat információs egység részére történő továbbításáról, és az érintetteket megillető jogokról. |
| --- | --- |

(29)

Figyelemmel az utasoknak a személyes adataik kezelésére vonatkozó tájékoztatáshoz való jogára, a tagállamoknak biztosítják, hogy az utasok könnyen hozzáférhető és érthető, pontos tájékoztatást kapjanak a PNR-adatok gyűjtéséről és azoknak az utas-adat információs egység részére történő továbbításáról, és az érintetteket megillető jogokról.

| (30) | Ez az irányelv nem érinti a hivatalos iratokhoz való nyilvános hozzáférés elvére irányadó uniós és nemzeti jogot. |
| --- | --- |

(30)

Ez az irányelv nem érinti a hivatalos iratokhoz való nyilvános hozzáférés elvére irányadó uniós és nemzeti jogot.

| (31) | A PNR-adatok tagállamok általi továbbítása harmadik országokba csak eseti alapon engedélyezhető, és annak a tagállamok által a 2008/977/IB kerethatározat alapján hozott rendelkezésekkel teljes összhangban kell lennie. A személyes adatok védelmének biztosítása érdekében az ilyen adattovábbításnak az adattovábbítás céljára vonatkozó további követelményeknek is meg kell felelnie. Meg kell felelnie továbbá a szükségesség és az arányosság elvének, és a Charta és az EJEE biztosította magas szintű védelem követelményeinek is. |
| --- | --- |

(31)

A PNR-adatok tagállamok általi továbbítása harmadik országokba csak eseti alapon engedélyezhető, és annak a tagállamok által a 2008/977/IB kerethatározat alapján hozott rendelkezésekkel teljes összhangban kell lennie. A személyes adatok védelmének biztosítása érdekében az ilyen adattovábbításnak az adattovábbítás céljára vonatkozó további követelményeknek is meg kell felelnie. Meg kell felelnie továbbá a szükségesség és az arányosság elvének, és a Charta és az EJEE biztosította magas szintű védelem követelményeinek is.

| (32) | A 2008/977/IB kerethatározat végrehajtása keretében létrehozott nemzeti felügyeleti hatóság feladatai közé tartozik az ezen irányelv alapján a tagállamok által elfogadott rendelkezések alkalmazásával kapcsolatos tanácsadás és ellenőrzés. |
| --- | --- |

(32)

A 2008/977/IB kerethatározat végrehajtása keretében létrehozott nemzeti felügyeleti hatóság feladatai közé tartozik az ezen irányelv alapján a tagállamok által elfogadott rendelkezések alkalmazásával kapcsolatos tanácsadás és ellenőrzés.

| (33) | Ez az irányelv nem érinti a tagállamok azon lehetőségét, hogy nemzeti joguk alapján rendelkezzenek az olyan PNR-adatok gyűjtésének és kezelésének rendszeréről, amelyek utasok szállítását nem végző gazdasági szereplőktől – például utazással kapcsolatos szolgáltatásokat nyújtó, többek között járatfoglalásokat végző, és azokhoz PNR-adatokat gyűjtő és kezelő utazási irodáktól és utazásszervezőktől – vagy az ezen irányelvben meghatározottaktól eltérő fuvarozóktól származnak, amennyiben az említett nemzeti jogszabályok megfelelnek az uniós jognak. |
| --- | --- |

(33)

Ez az irányelv nem érinti a tagállamok azon lehetőségét, hogy nemzeti joguk alapján rendelkezzenek az olyan PNR-adatok gyűjtésének és kezelésének rendszeréről, amelyek utasok szállítását nem végző gazdasági szereplőktől – például utazással kapcsolatos szolgáltatásokat nyújtó, többek között járatfoglalásokat végző, és azokhoz PNR-adatokat gyűjtő és kezelő utazási irodáktól és utazásszervezőktől – vagy az ezen irányelvben meghatározottaktól eltérő fuvarozóktól származnak, amennyiben az említett nemzeti jogszabályok megfelelnek az uniós jognak.

| (34) | Ez az irányelv nem érinti a határellenőrzés végzésének módjára vonatkozó, hatályos uniós szabályokat, sem az Unió területére való belépésre és kilépésre vonatkozó uniós szabályozást. |
| --- | --- |

(34)

Ez az irányelv nem érinti a határellenőrzés végzésének módjára vonatkozó, hatályos uniós szabályokat, sem az Unió területére való belépésre és kilépésre vonatkozó uniós szabályozást.

| (35) | A személyes adatok – beleértve a PNR-adatokat is – kezelésére vonatkozó nemzeti rendelkezések tekintetében fennálló jogi és technikai különbségek következtében a légi fuvarozóknak ma is és a jövőben is különböző követelményeknek kell is megfelelniük a továbbítandó információtípusokkal, valamint azoknak az illetékes nemzeti hatóságok számára való szolgáltatására vonatkozó feltételekkel kapcsolatban. Ezek a különbségek a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése terén hátráltathatják az illetékes nemzeti hatóságok közötti hatékony együttműködést. Ezért szükséges, hogy a PNR-adatok továbbítása és kezelése tekintetében az irányelv uniós szinten közös jogi keretet teremtsen. |
| --- | --- |

(35)

A személyes adatok – beleértve a PNR-adatokat is – kezelésére vonatkozó nemzeti rendelkezések tekintetében fennálló jogi és technikai különbségek következtében a légi fuvarozóknak ma is és a jövőben is különböző követelményeknek kell is megfelelniük a továbbítandó információtípusokkal, valamint azoknak az illetékes nemzeti hatóságok számára való szolgáltatására vonatkozó feltételekkel kapcsolatban. Ezek a különbségek a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése terén hátráltathatják az illetékes nemzeti hatóságok közötti hatékony együttműködést. Ezért szükséges, hogy a PNR-adatok továbbítása és kezelése tekintetében az irányelv uniós szinten közös jogi keretet teremtsen.

| (36) | Ez az irányelv tiszteletben tartja a Chartában foglalt alapvető jogokat és rögzített elveket és különösen annak a 8., 7. és 21. cikkeiben garantált, a személyes adatok védelméhez való jogot, a magánélet tiszteletben tartásához való jogot és az egyenlő bánásmódhoz való jogot, így az irányelvet ennek megfelelően kell végrehajtani. Ez az irányelv összeegyeztethető az adatvédelmi alapelvekkel, és rendelkezései összhangban állnak a 2008/977/IB kerethatározattal. Ezenkívül – az arányosság elvének való megfelelés érdekében – ez az irányelv egyes kérdésekben a 2008/977/IB kerethatározatnál szigorúbb adatvédelmi szabályokat tartalmaz. |
| --- | --- |

(36)

Ez az irányelv tiszteletben tartja a Chartában foglalt alapvető jogokat és rögzített elveket és különösen annak a 8., 7. és 21. cikkeiben garantált, a személyes adatok védelméhez való jogot, a magánélet tiszteletben tartásához való jogot és az egyenlő bánásmódhoz való jogot, így az irányelvet ennek megfelelően kell végrehajtani. Ez az irányelv összeegyeztethető az adatvédelmi alapelvekkel, és rendelkezései összhangban állnak a 2008/977/IB kerethatározattal. Ezenkívül – az arányosság elvének való megfelelés érdekében – ez az irányelv egyes kérdésekben a 2008/977/IB kerethatározatnál szigorúbb adatvédelmi szabályokat tartalmaz.

| (37) | Ezen irányelv hatálya a lehető legszűkebbre korlátozott, mivel a PNR-adatoknak az utas-adat információs egységek általi megőrzését öt évet meg nem haladó időtartamra teszi lehetővé, ami után az adatokat törölni kell, az adatokat hat hónapos kezdeti időszak elteltével az adatelemek elrejtése útján személyazonosításra alkalmatlanná kell tenni, továbbá tiltja az érzékeny adatok gyűjtését és felhasználását. A hatékony és magas szintű adatvédelem érdekében a tagállamok gondoskodnak arról, hogy független nemzeti felügyeleti hatóság és mindenekelőtt adatvédelmi tisztviselő feleljen a PNR-adatok kezelési módjának ellenőrzéséért és az ezzel kapcsolatos tanácsadásért. A PNR-adatok kezelését minden esetben az adatkezelés jogszerűségének ellenőrzése, az önellenőrzés, valamint az adatok sértetlenségének és az adatkezelés biztonságának biztosítása érdekében naplózni vagy dokumentálni kell. A tagállamoknak biztosítaniuk kell továbbá, hogy az utasok világos és pontos tájékoztatást kapjanak a PNR-adatok gyűjtéséről, valamint a jogaikról. |
| --- | --- |

(37)

Ezen irányelv hatálya a lehető legszűkebbre korlátozott, mivel a PNR-adatoknak az utas-adat információs egységek általi megőrzését öt évet meg nem haladó időtartamra teszi lehetővé, ami után az adatokat törölni kell, az adatokat hat hónapos kezdeti időszak elteltével az adatelemek elrejtése útján személyazonosításra alkalmatlanná kell tenni, továbbá tiltja az érzékeny adatok gyűjtését és felhasználását. A hatékony és magas szintű adatvédelem érdekében a tagállamok gondoskodnak arról, hogy független nemzeti felügyeleti hatóság és mindenekelőtt adatvédelmi tisztviselő feleljen a PNR-adatok kezelési módjának ellenőrzéséért és az ezzel kapcsolatos tanácsadásért. A PNR-adatok kezelését minden esetben az adatkezelés jogszerűségének ellenőrzése, az önellenőrzés, valamint az adatok sértetlenségének és az adatkezelés biztonságának biztosítása érdekében naplózni vagy dokumentálni kell. A tagállamoknak biztosítaniuk kell továbbá, hogy az utasok világos és pontos tájékoztatást kapjanak a PNR-adatok gyűjtéséről, valamint a jogaikról.

| (38) | Mivel ezen irányelv céljait, nevezetesen a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, kivizsgálása, nyomozása és üldözése érdekében a PNR-adatok légi fuvarozók általi továbbítását és az adatok hatóságok általi kezelését a tagállamok nem tudják kielégítően megvalósítani, és azok uniós szinten jobban megvalósíthatók, az Unió intézkedéseket hozhat az Európai Unióról szóló szerződés 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ez az irányelv nem lépi túl az e célok eléréséhez szükséges mértéket. |
| --- | --- |

(38)

Mivel ezen irányelv céljait, nevezetesen a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, kivizsgálása, nyomozása és üldözése érdekében a PNR-adatok légi fuvarozók általi továbbítását és az adatok hatóságok általi kezelését a tagállamok nem tudják kielégítően megvalósítani, és azok uniós szinten jobban megvalósíthatók, az Unió intézkedéseket hozhat az Európai Unióról szóló szerződés 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ez az irányelv nem lépi túl az e célok eléréséhez szükséges mértéket.

| (39) | Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló 21. jegyzőkönyv 3. cikkével összhangban e tagállamok bejelentették, hogy részt kívánnak venni ennek az irányelvnek az elfogadásában és alkalmazásában. |
| --- | --- |

(39)

Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló 21. jegyzőkönyv 3. cikkével összhangban e tagállamok bejelentették, hogy részt kívánnak venni ennek az irányelvnek az elfogadásában és alkalmazásában.

| (40) | Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, Dánia helyzetéről szóló 22. jegyzőkönyv 1. és 2. cikke értelmében Dánia nem vesz részt ennek az irányelvnek az elfogadásában, az rá nézve nem kötelező és nem alkalmazandó, |
| --- | --- |

(40)

Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, Dánia helyzetéről szóló 22. jegyzőkönyv 1. és 2. cikke értelmében Dánia nem vesz részt ennek az irányelvnek az elfogadásában, az rá nézve nem kötelező és nem alkalmazandó,

| (41) | Az európai adatvédelmi biztossal a 45/2001/EK európai parlamenti és tanácsi rendelet (10) 28. cikkének (2) bekezdésével összhangban konzultációra került sor, és a biztos 2011. március 25-én véleményt nyilvánított, |
| --- | --- |

(41)

Az európai adatvédelmi biztossal a 45/2001/EK európai parlamenti és tanácsi rendelet (10) 28. cikkének (2) bekezdésével összhangban konzultációra került sor, és a biztos 2011. március 25-én véleményt nyilvánított,

ELFOGADTA EZT AZ IRÁNYELVET:

I. FEJEZET

Általános rendelkezések

1. cikk

Tárgy és hatály

(1)   Ez az irányelv szabályozza:

| a) | az EU-n kívüli légi járatok utasaira vonatkozó utas-nyilvántartási adatok (PNR) légi fuvarozók általi továbbítását; |
| --- | --- |

a)

az EU-n kívüli légi járatok utasaira vonatkozó utas-nyilvántartási adatok (PNR) légi fuvarozók általi továbbítását;

| b) | az a) pontban említett adatok kezelését, beleértve azok tagállamok általi gyűjtését, felhasználását és megőrzését, valamint tagállamok közötti cseréjét. |
| --- | --- |

b)

az a) pontban említett adatok kezelését, beleértve azok tagállamok általi gyűjtését, felhasználását és megőrzését, valamint tagállamok közötti cseréjét.

(2)   Az ezen irányelvvel összhangban gyűjtött PNR-adatokat kizárólag terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése céljából lehet kezelni a 6. cikk (2) bekezdésének a), b) és c) pontjában foglaltaknak megfelelően.

2. cikk

Az irányelv alkalmazása EU-n belüli légi járatokra

(1)   Ha a tagállam úgy határoz, hogy az irányelvet EU-n belüli légi járatokra is alkalmazza, erről írásban értesíti a Bizottságot. A tagállamok tetszés szerinti időpontban tehetnek vagy vonhatnak vissza ilyen értesítéseket. Ezt az értesítést vagy annak visszavonását a Bizottság az Európai Unió Hivatalos Lapjában közzéteszi.

(2)   Amennyiben az (1) bekezdésben említett értesítés megtételére kerül sor, ezen irányelv valamennyi rendelkezését úgy kell alkalmazni az EU-n belüli légi járatokra, mintha EU-n kívüli légi járatok lennének, az EU-n belüli légi járatokra vonatkozó PNR-adatokra pedig mintha EU-n kívüli légi járatokra vonatkoznának.

(3)   A tagállamok dönthetnek úgy, hogy ezt az irányelvet csak egyes kiválasztott EU-n belüli légi járatokra alkalmazzák. Az ilyen döntések meghozatalakor a tagállamok kiválasztják azokat a légi járatokat, amelyek véleményük szerint az irányelvben foglalt célkitűzések megvalósításához szükségesek. A tagállamok bármikor dönthetnek úgy, hogy módosítják a kiválasztott EU-n belüli légi járatok körét.

3. cikk

Fogalommeghatározások

Ezen irányelv alkalmazásában a következő fogalommeghatározásokat kell alkalmazni:

1.   „légi fuvarozó”: utasok légi fuvarozását engedélyező érvényes működési vagy azzal egyenértékű engedéllyel rendelkező légiközlekedési vállalkozás;

„légi fuvarozó”

2.   „EU-n kívüli légi járat”: egy légi fuvarozó bármely menetrend szerinti vagy nem menetrend szerinti légi járata, amely egy harmadik országból indul és a tervek szerint egy tagállam területére érkezik, vagy egy tagállam területéről indul és a tervek szerint valamely harmadik ország területére érkezik, beleértve mindkét esetben a tagállamok vagy harmadik országok területén közbenső leszállásokat végrehajtó légi járatokat is;

„EU-n kívüli légi járat”

3.   „EU-n belüli légi járat”: egy légi fuvarozó bármely menetrend szerinti vagy nem menetrend szerinti légi járata, amely egy tagállam területéről indul és a tervek szerint egy vagy több más tagállam területére érkezik, anélkül hogy egy harmadik ország területén közbeeső leszállást hajtana végre;

„EU-n belüli légi járat”

4.   „utas”: egy légi jármű fedélzetén a légi fuvarozó hozzájárulásával szállított vagy szállítandó személy – beleértve a tranzit- vagy átszálló utasokat is –, a személyzet kivételével, amely hozzájárulást az adott személynek az utasjegyzékbe történő felvétele igazolja;

„utas”

5.   „utasnyilvántartási adatállomány” vagy „PNR”: olyan adatállomány, amely az egyes utasoknak az utazáshoz kötelezően megadandó adatait tartalmazza, és amely minden olyan információt magában foglal, amelyek ahhoz szükségesek, hogy a jegyet kiállító és a fuvarozásban részt vevő légi fuvarozók elvégezhessék és ellenőrizhessék a foglalásokat minden egyes személyesen vagy más nevére történt útvonalfoglalás esetében, függetlenül attól, hogy azokat légi járatok utasfelvételi-helyfoglalási rendszerek, indulás-ellenőrzési rendszerek (amelyet utasfelvételi eljárásra is használnak), vagy ugyanilyen feladatokat ellátó egyenértékű rendszerek szolgáltatják-e;

„utasnyilvántartási adatállomány” vagy „PNR”

6.   „helyfoglalási rendszer”: a légi fuvarozó belső rendszere, amelyben a helyfoglalások kezelése érdekében a PNR-adatokat gyűjt;

„helyfoglalási rendszer”

7.   „push módszer”: az a módszer, amellyel a légi fuvarozók az I. mellékletben felsorolt PNR-adatokat az adatokat kérő hatóság adatbázisába továbbítják;

„push módszer”

8.   „terrorista bűncselekmény”: a 2002/475/IB kerethatározat 1–4. cikkében említett, a nemzeti jog szerint is annak minősülő bűncselekmény;

„terrorista bűncselekmény”

9.   „súlyos bűncselekmény”: a II. mellékletben felsorolt bűncselekményi tényállások, amennyiben a nemzeti jog alapján kiszabható büntetési tétel felső határa legalább háromévi szabadságvesztés vagy szabadságelvonással járó intézkedés;

„súlyos bűncselekmény”

10.   „személyazonosításra alkalmatlanná tétel adatelemek elrejtése útján (személytelenítés)”: az érintettek közvetlen beazonosítását lehetővé tevő adatelemek láthatatlanná tétele a felhasználók számára.

„személyazonosításra alkalmatlanná tétel adatelemek elrejtése útján (személytelenítés)”

II. FEJEZET

A tagállamok feladatai

4. cikk

Az utas-adat információs egység

(1)   Valamennyi tagállam létrehoz vagy kijelöl egy olyan hatóságot, amely a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és a vádeljárás lefolytatása terén illetékes, vagy egy ilyen hatóság szervezeti egységét annak érdekében, hogy utas-adat információs egységként járjon el.

(2)   Az utas-adat információs egység felel:

| a) | a PNR-adatoknak a légi fuvarozóktól történő gyűjtéséért, ezen adatok tárolásáért és kezeléséért, továbbá az adatoknak vagy a kezelésükből származó eredményeknek az 7. cikkben említett illetékes hatóságok részére történő továbbításáért; |
| --- | --- |

a)

a PNR-adatoknak a légi fuvarozóktól történő gyűjtéséért, ezen adatok tárolásáért és kezeléséért, továbbá az adatoknak vagy a kezelésükből származó eredményeknek az 7. cikkben említett illetékes hatóságok részére történő továbbításáért;

| b) | mind a PNR-adatoknak, mind a kezelésükből származó eredményeknek más tagállamok utas-adat információs egységeivel és az Europollal történő, a 9. és 10. cikk szerinti cseréjéért. |
| --- | --- |

b)

mind a PNR-adatoknak, mind a kezelésükből származó eredményeknek más tagállamok utas-adat információs egységeivel és az Europollal történő, a 9. és 10. cikk szerinti cseréjéért.

(3)   Az utas-adat információs egység személyi állományának tagjai kirendelhetők illetékes hatóságoktól. A tagállamok megfelelő forrásokat biztosítanak az utas-adat információs egységek számára, hogy feladataikat teljesíthessék.

(4)   Két vagy több tagállam (a résztvevő tagállamok) létrehozhat vagy kijelölhet egyetlen hatóságot abból a célból, hogy az az utas-adat információs egységként járjon el. Az ilyen utas-adat információs egységet az egyik részt vevő tagállamban kell létrehozni, és az valamennyi részt vevő tagállam nemzeti utas-adat információs egységének minősül. A részt vevő tagállamoknak közösen kell megegyezniük az utas-adat információs egység működésének részletes szabályairól, és tiszteletben kell tartaniuk az ebben az irányelvben meghatározott követelményeket.

(5)   Az utas-adat információs egység létrehozásától számított egy hónapon belül arról valamennyi tagállam értesíti a Bizottságot, és értesítésüket bármikor módosíthatják. A Bizottság ezt az értesítést és annak esetleges módosításait az Európai Unió Hivatalos Lapjában közzéteszi.

5. cikk

Az utas-adat információs egység adatvédelmi tisztviselője

(1)   Az utas-adat információs egység egy adatvédelmi tisztviselőt nevez ki, aki a PNR-adatok kezeléséért és a vonatkozó biztosítékok végrehajtásának az ellenőrzéséért felelős.

(2)   A tagállamok biztosítják az adatvédelmi tisztviselők számára az ahhoz szükséges eszközöket, hogy az e cikk szerinti kötelezettségeiket és feladataikat eredményesen és függetlenül lássák el.

(3)   A tagállamok biztosítják, hogy az érintett jogosult legyen arra, hogy a saját PNR-adatainak kezelésével kapcsolatos valamennyi kérdésben az adatvédelmi tisztviselővel – mint egyedüli kapcsolattartó ponttal –, kapcsolatba lépjen.

6. cikk

A PNR-adatok kezelése

(1)   A légi fuvarozók által továbbított PNR-adatokat az érintett tagállam utas-adat információs egysége gyűjti a 8. cikkben foglaltakkal összhangban. Amennyiben a légi fuvarozók által továbbított PNR-adatok az I. mellékletben felsoroltakon túl más adatokat is tartalmaznak, akkor az utas-adat információs egység ezeket az adatokat a beérkezést követően haladéktalanul és véglegesen töröli.

(2)   Az utas-adat információs egység a PNR-adatokat kizárólag a következő célokból kezeli:

| a) | az utasok értékelése a tagállamba történő tervezett érkezésüket vagy elutazásukat megelőzően annak érdekében, hogy beazonosítsák azokat a személyeket, akiket a 7. cikkben említett illetékes hatóságoknak és adott esetben a 10. cikk szerint az Europolnak további vizsgálat alá kell vonnia, tekintettel arra, hogy ezek a személyek érintettek lehetnek terrorista bűncselekményben vagy súlyos bűncselekményben; |
| --- | --- |

a)

az utasok értékelése a tagállamba történő tervezett érkezésüket vagy elutazásukat megelőzően annak érdekében, hogy beazonosítsák azokat a személyeket, akiket a 7. cikkben említett illetékes hatóságoknak és adott esetben a 10. cikk szerint az Europolnak további vizsgálat alá kell vonnia, tekintettel arra, hogy ezek a személyek érintettek lehetnek terrorista bűncselekményben vagy súlyos bűncselekményben;

| b) | a 7. cikk szerinti illetékes hatóságok eseti alapon, kellően alátámasztott, megfelelő indokolással ellátott megkeresésére történő válaszadás, amely egyedi esetekben a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése céljából a PNR-adatok szolgáltatására és a PNR-adatok kezelésére, és az ilyen adatkezelés eredményének az illetékes hatóságok és adott esetben az Europol részére történő szolgáltatására irányul; valamint |
| --- | --- |

b)

a 7. cikk szerinti illetékes hatóságok eseti alapon, kellően alátámasztott, megfelelő indokolással ellátott megkeresésére történő válaszadás, amely egyedi esetekben a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése céljából a PNR-adatok szolgáltatására és a PNR-adatok kezelésére, és az ilyen adatkezelés eredményének az illetékes hatóságok és adott esetben az Europol részére történő szolgáltatására irányul; valamint

| c) | a PNR-adatok értékelése olyan új kritériumok megalkotása vagy frissítése céljából, amelyek a terrorista bűncselekményben vagy súlyos bűncselekményben esetlegesen érintett személyek beazonosítására irányuló, a (3) bekezdés b) pontja alapján végzett értékelések elvégzéséhez szükségesek. |
| --- | --- |

c)

a PNR-adatok értékelése olyan új kritériumok megalkotása vagy frissítése céljából, amelyek a terrorista bűncselekményben vagy súlyos bűncselekményben esetlegesen érintett személyek beazonosítására irányuló, a (3) bekezdés b) pontja alapján végzett értékelések elvégzéséhez szükségesek.

(3)   A (2) bekezdés a) pontja szerinti értékelés elvégzése során az utas-adat információs egység:

| a) | összevetheti a PNR-adatokat a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése szempontjából releváns adatbázisokkal, beleértve a körözés alatt álló vagy figyelmeztető jelzés hatálya alatt álló személyekre vagy tárgyakra vonatkozó adatbázisokat is, összhangban az ilyen adatbázisokra érvényes uniós, nemzetközi vagy nemzeti szabályokkal; |
| --- | --- |

a)

összevetheti a PNR-adatokat a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és üldözése szempontjából releváns adatbázisokkal, beleértve a körözés alatt álló vagy figyelmeztető jelzés hatálya alatt álló személyekre vagy tárgyakra vonatkozó adatbázisokat is, összhangban az ilyen adatbázisokra érvényes uniós, nemzetközi vagy nemzeti szabályokkal;

| b) | kezelheti a PNR-adatokat előzetesen meghatározott kritériumokkal való összevetés útján. |
| --- | --- |

b)

kezelheti a PNR-adatokat előzetesen meghatározott kritériumokkal való összevetés útján.

(4)   Az utasoknak a tagállamba történő tervezett érkezésüket vagy indulásukat megelőző, a (3) bekezdés b) pontjában említett, előzetesen meghatározott kritériumok alapján elvégzett bármilyen értékelését megkülönböztetéstől mentes módon kell elvégezni. Ezek az előzetesen meghatározott kritériumoknak célzottnak, arányosnak és konkrétnak kell lenniük. A tagállamok biztosítják, hogy az utas-adat információs egység ezeket kritériumokat a 7. cikkben említett illetékes hatóságokkal együttműködve határozza meg és azokat rendszeresen felülvizsgálja. Az értékelési kritériumok a személy faji vagy etnikai hovatartozásán, politikai véleményén, vallási vagy világnézeti meggyőződésén, szakszervezeti tagságán, egészségi állapotán vagy szexuális életén vagy szexuális irányultságán semmilyen körülmények között sem alapulhatnak.

(5)   A tagállamok biztosítják, hogy a PNR-adatoknak a (2) bekezdés a) pontja alapján végzett automatizált kezeléséből származó bármely pozitív találatot nem automatizált eszközökkel, egyedi felülvizsgálat alá kelljen vetni, hogy megbizonyosodjanak arról, hogy az 7. cikkben említett illetékes hatóságnak a nemzeti joggal összhangban intézkednie kell-e.

(6)   A tagállami utas-adat információs egység a (2) bekezdés a) pontjával összhangban beazonosított személyek PNR-adatait vagy az említett adatok kezelésének eredményét további vizsgálat céljából továbbítja ugyanazon tagállamnak a 7. cikkben említett illetékes hatóságai részére. Ilyen adattovábbításra csak eseti alapon kerülhet sor, és ha a PNR-adatok kezelése automatizált volt, akkor nem automatizált eszközökkel végzett egyedi felülvizsgálatot követően lehetséges.

(7)   A tagállamok biztosítják, hogy az adatvédelmi tisztviselő hozzáférjen az utas-adat információs egység által kezelt valamennyi adathoz. Amennyiben az adatvédelmi tisztviselő úgy ítéli meg, hogy valamely adat kezelése jogszerűtlen volt, az adatvédelmi tisztviselő az ügyet a nemzeti felügyeleti hatósághoz utalja.

(8)   A PNR-adatok utas-adat információs egység általi tárolására, kezelésére és értékelésére kizárólag a tagállamok területén található biztonságos helyen kerülhet sor.

(9)   A (2) bekezdés a) pontjában említett, utasokra vonatkozó értékelés eredménye nem veszélyeztetheti a 2004/38/EK európai parlamenti és tanácsi irányelvben (11) foglaltak szerint a szabad mozgás uniós jogával rendelkező személyeknek az érintett tagállam területére történő beutazáshoz fűződő jogát. Ezenfelül az ilyen értékelések eredményének – amennyiben azokat az olyan tagállamok közötti EU-n belüli légi járatok tekintetében végzik, amelyekre alkalmazandó a 562/2006/EK európai parlamenti és tanácsi rendelet (12) – meg kell felelnie az említett rendeletnek.

7. cikk

Illetékes hatóságok

(1)   Valamennyi tagállam elfogadja azon illetékes hatóságok jegyzékét, amelyek a terrorista bűncselekmények és súlyos bűncselekmények megelőzése, felderítése, nyomozása és az üldözése céljából jogosultak az utas-adat információs egységtől PNR-adatokat vagy azok kezelésének eredményeit kérni és kapni, az információk további vizsgálata vagy a megfelelő intézkedések megtétele érdekében.

(2)   Az (1) bekezdésben említett hatóságok olyan hatóságok, amelyek hatáskörrel rendelkeznek a terrorista bűncselekmények és a súlyos bűncselekmények megelőzésére, felderítésére, az azokkal kapcsolatos nyomozásra vagy a vádeljárás lefolytatására.

(3)   A 9. cikk (3) bekezdésének alkalmazása érdekében az egyes tagállamok 2017. május 25-ig benyújtják a Bizottságnak az illetékes hatóságaik jegyzékét, és az értesítésüket bármikor módosíthatják. A Bizottság az említett értesítést és annak esetleges módosításait az Európai Unió Hivatalos Lapjában közzéteszi.

(4)   Az utas-adat információs egység által kapott PNR-adatokat és azok kezelésének eredményét a tagállamok illetékes hatóságai kizárólag a terrorista bűncselekmények és súlyos bűncselekmények megelőzésének, felderítésének, nyomozásának és üldözésének konkrét céljából vethetik alá további adatkezelésnek.

(5)   A (4) bekezdés nem érinti a nemzeti rendészeti szervek és igazságszolgáltatás hatáskörét, amennyiben más bűncselekményeket vagy azok elkövetésére utaló jeleket derítenek fel a fenti adatkezelés eredményeként indult bűnüldözési tevékenységeik során.

(6)   Az illetékes hatóságok egyetlen személyre nézve sem hozhatnak hátrányos joghatással járó vagy őt súlyosan érintő döntést kizárólag a PNR-adatok automatizált kezelésének eredményeként. Ilyen döntések nem hozhatók az adott személy faji vagy etnikai hovatartozása, politikai véleménye, vallási vagy világnézeti meggyőződése, szakszervezeti tagsága, egészségi állapota, szexuális élete vagy szexuális irányultsága alapján.

8. cikk

A légi fuvarozók adattovábbítással kapcsolatos kötelezettségei

(1)   A tagállamok elfogadják az annak biztosításához szükséges intézkedéseket, hogy a légi fuvarozók („push”-módszerrel) továbbítsák az I. mellékletben részletezett PNR-adatokat – amennyiben ezeket az adatokat szokásos üzleti tevékenységük keretében már összegyűjtötték – a légi járat indulási vagy érkezési helye szerinti tagállam utas-adat információs egységének adatbázisába. Amennyiben a légi járat utashelyeit egy vagy több légi fuvarozó közösen értékesíti, a járaton utazó összes utas PNR-adatait a légi járatot üzemeltető légi fuvarozó köteles továbbítani. Ha egy EU-n kívüli légi járatnak egy vagy több közbenső leszállóhelye van a tagállami repülőtereken, akkor a légi fuvarozók valamennyi utas PNR-adatait valamennyi érintett tagállam utas-adat információs egységének továbbítják. Ez akkor is érvényes, ha egy EU-n belüli légi járatnak egy vagy több közbenső leszállóhelye van különböző tagállamok repülőterein, de csak olyan tagállamok vonatkozásában, amelyek gyűjtik az EU-n belüli légi járatokra vonatkozó PNR-adatokat.

(2)   Amennyiben a légi fuvarozók az I. melléklet 18. pontjában felsorolt előzetes utasinformációs (API) adatokat gyűjtöttek, azonban ezeket technikai értelemben nem őrzik meg a PNR-adatok részeként, a tagállamok olyan szükséges intézkedéseket fogadnak el, amelyek biztosítják, hogy a légi fuvarozók ezeket az adatokat továbbítsák „push”-módszerrel az (1) bekezdésben említett tagállamban működő utas-adat információs egységnek. Az ilyen adattovábbítás esetében az API-adatok vonatkozásában az ezen irányelvben foglalt valamennyi rendelkezést alkalmazni kell.

(3)   A légi fuvarozók a PNR-adatokat elektronikus úton, a 17. cikk (2) bekezdésében említett vizsgálóbizottsági eljárással összhangban elfogadandó közös protokollok és támogatott adatformátumok használatával, technikai hiba esetén pedig bármely más megfelelő módon, az adatvédelem megfelelő szintjét biztosítva a következők szerint továbbítják:

| a) | 24–48 órával a légi járat tervezett indulási időpontját megelőzően; valamint |
| --- | --- |

a)

24–48 órával a légi járat tervezett indulási időpontját megelőzően; valamint

| b) | közvetlenül a beszállás lezárását követően, vagyis amikor az utasok beszálltak a felszállásra készülő repülőgépre, és az utasok beszállása vagy kiszállása már nem lehetséges. |
| --- | --- |

b)

közvetlenül a beszállás lezárását követően, vagyis amikor az utasok beszálltak a felszállásra készülő repülőgépre, és az utasok beszállása vagy kiszállása már nem lehetséges.

(4)   A tagállamok engedélyezik a légi fuvarozók számára, hogy a (3) bekezdés b) pontja szerinti adattovábbítást az említett bekezdés a) pontja szerinti adattovábbítás aktualizálására korlátozzák.

(5)   Amennyiben a PNR-adatokhoz való hozzáférés terrorista bűncselekménnyel vagy súlyos bűncselekménnyel kapcsolatos konkrét és tényleges fenyegetésre adandó válaszhoz szükséges, a légi fuvarozók, eseti alapon, az utas-adat információs egység megkeresésére a PNR-adatokat a nemzeti joggal összhangban a (3) bekezdésben említett időpontoktól eltérő időpontokban is továbbítják.

9. cikk

A tagállamok közötti információcsere

(1)   A tagállamok biztosítják, hogy az utas-adat információs egység által a 6. cikk (2) bekezdésével összhangban beazonosított személyekre vonatkozó összes releváns és szükséges PNR-adatot vagy azok kezelésének eredményét az említett utas-adat információs egység továbbítsa a többi tagállam megfelelő utas-adat információs egységei részére. A átvevő tagállam utas-adat információs egysége a kapott adatokat a 6. cikk (6) bekezdésével összhangban saját illetékes hatóságai felé továbbítja.

(2)   A tagállam utas-adat információs egysége szükség esetén jogosult egy másik tagállam utas-adat információs egységétől az utóbbi adatbázisában tárolt PNR-adatoknak, illetve a 12. cikk (2) bekezdése szerinti, adatelemek elrejtésével még nem személytelenített adatoknak és szükség esetén – ha a 6. cikk (2) bekezdésének a) pontja szerint elemzés elkészült – azon adatok kezelése eredményének szolgáltatását kérni. A megkeresést megfelelően indokolni kell. A megkeresés az adatelemek bármelyikére vagy ezek kombinációjára vonatkozhat, ahogyan azt az adatokat kérő utas-adat információs egység az adott egyedi esetben a terrorista bűncselekmények vagy súlyos bűncselekmények megelőzésének, felderítésének, nyomozásának és a vádeljárás lefolytatásának biztosítása érdekében szükségesnek ítéli. Az utas-adat információs egység a kért információkat, amint az kivitelezhető, átadja. Amennyiben a kért adatokat a 12. cikk (2) bekezdésével összhangban az adatelemek elrejtésével személytelenítették, az utas-adat információs egység csak akkor adhatja át a teljes PNR-adatot, ha alapos okkal feltételezhető, hogy ez a 6. cikk (2) bekezdésének b) pontjában említett célból szükséges, és ha az illetékes hatóságtól az adatok átadására a 12. cikk (3) bekezdésének b) pontjában említett engedélyt kapott.

(3)   A tagállamok illetékes hatóságai csak sürgős esetben és a (2) bekezdésben meghatározott feltételek teljesülése esetén kérhetik közvetlenül bármely más tagállam utas-adat információs egységétől, az annak adatbázisában tárolt PNR-adatok átadását. Az illetékes hatóságoktól érkező megkereséseket indokolással kell ellátni. A megkeresések másolatát mindig meg kell küldeni a megkereső tagállam utas-adat információs egységének. Az illetékes hatóságok megkereséseiket minden egyéb esetben a saját tagállamuk utas-adat információs egységén keresztül továbbítják.

(4)   Kivételes esetekben, amennyiben a PNR-adatokhoz való hozzáférés terrorista bűncselekménnyel vagy súlyos bűncselekménnyel kapcsolatos konkrét és tényleges fenyegetésre adandó válaszhoz szükséges, egy adott tagállam utas-adat információs egysége bármikor jogosult egy másik tagállam utas-adat információs egységétől a 8. cikk (5) bekezdésével összhangban PNR-adatokat kapni, illetve ezeket a megkereső utas-adat információs egységnek megadni.

(5)   Az e cikk alapján történő információcsere történhet a tagállamok illetékes hatóságai közötti együttműködésre szolgáló bármely meglévő csatorna használatával. A megkeresés és az információcsere nyelve megegyezik a felhasznált csatornára irányadó nyelvvel. Amikor a tagállamok megteszik a 4. cikk (5) bekezdése szerinti értesítést, akkor a sürgős esetben küldhető megkeresések ügyében illetékes kapcsolattartó pontok elérhetőségéről is tájékoztatják a Bizottságot. A Bizottság tájékoztatja a tagállamokat ezen elérhetőségekről.

10. cikk

Az Europol PNR-adatokhoz való hozzáférésének feltételei

(1)   Hatáskörén belül és a feladatainak ellátása érdekében az Europol jogosult arra, hogy a tagállami utas-adat információs egységektől PNR-adatokat vagy azok kezeléséből származó eredményeket kérjen.

(2)   Az Europol eseti alapon, elektronikus úton, megfelelő indokolással ellátott megkeresést intézhet az Europol nemzeti egységén keresztül bármely tagállam utas-adat információs egységéhez egyes PNR-adatok és azok kezeléséből származó eredmények továbbítása iránt. Az Europol ilyen megkeresést nyújthat be, mennyiben ez feltétlenül szükséges ahhoz, hogy támogatni és erősíteni tudja a tagállamok fellépését valamely konkrét terrorista bűncselekmény vagy súlyos bűncselekmény megelőzése, felderítése vagy nyomozása tekintetében, amennyiben az Europol hatásköre a 2009/371/IB határozat értelmében kiterjed az adott bűncselekményre. Az indokolással ellátott megkeresésben meg kell jelölni azokat az észszerű indokokat, amelyek alapján az Europol megítélése szerint a PNR-adatok vagy a PNR-adatok kezeléséből származó eredmények továbbítása jelentős mértékben hozzájárul az adott bűncselekmény megelőzéséhez, felderítéséhez vagy nyomozásához.

(3)   Az Europol a 2009/371/IB határozat 28. cikkével összhangban kinevezett adatvédelmi tisztviselőt az e cikk szerint sorra kerülő minden egyes információcseréről tájékoztatja.

(4)   Az e cikk szerinti információcserére a SIENA-n keresztül és a 2009/371/IB határozatnak megfelelően kerül sor. A megkeresésben és az információcsere során a SIENA-ra irányadó nyelvet kell használni.

11. cikk

Adattovábbítás harmadik országok részére

(1)   Egy tagállam utas-adat információs egysége a 12. cikkel összhangban az általa tárolt PNR-adatokat és az ilyen adatok kezeléséből származó eredményeket harmadik országba csak eseti alapon továbbíthatja és amennyiben:

| a) | a 2008/977/IB kerethatározat 13. cikkében foglalt feltételek teljesülnek; |
| --- | --- |

a)

a 2008/977/IB kerethatározat 13. cikkében foglalt feltételek teljesülnek;

| b) | az adattovábbítás az ezen irányelv 1. cikkének (2) bekezdésében említett célokból szükséges; |
| --- | --- |

b)

az adattovábbítás az ezen irányelv 1. cikkének (2) bekezdésében említett célokból szükséges;

| c) | a harmadik ország vállalja, hogy az adatokat másik harmadik ország részére kizárólag akkor továbbítja, ha az adattovábbítás ezen irányelvnek az 1. cikk (2) bekezdésében említett célokból feltétlenül szükséges, és ha erre a tagállam kifejezett felhatalmazást ad, és |
| --- | --- |

c)

a harmadik ország vállalja, hogy az adatokat másik harmadik ország részére kizárólag akkor továbbítja, ha az adattovábbítás ezen irányelvnek az 1. cikk (2) bekezdésében említett célokból feltétlenül szükséges, és ha erre a tagállam kifejezett felhatalmazást ad, és

| d) | a 9. cikk (2) bekezdésében foglaltakkal azonos feltételek teljesülnek. |
| --- | --- |

d)

a 9. cikk (2) bekezdésében foglaltakkal azonos feltételek teljesülnek.

(2)   A 2008/977/IB kerethatározat 13. cikkének (2) bekezdésétől eltérően a tagállam – amelytől az adatok származnak – előzetes hozzájárulása hiányában a PNR-adatok továbbítása csak kivételes körülmények fennállása esetén lehetséges, és csak abban az esetben, ha:

| a) | az terrorista bűncselekménnyel vagy súlyos bűncselekménnyel kapcsolatos, valamely tagállamot vagy harmadik országot érintő konkrét és tényleges fenyegetés elhárításához elengedhetetlen, és ha |
| --- | --- |

a)

az terrorista bűncselekménnyel vagy súlyos bűncselekménnyel kapcsolatos, valamely tagállamot vagy harmadik országot érintő konkrét és tényleges fenyegetés elhárításához elengedhetetlen, és ha

| b) | az előzetes hozzájárulás kellő időben nem szerezhető meg. |
| --- | --- |

b)

az előzetes hozzájárulás kellő időben nem szerezhető meg.

A hozzájárulás megadásáért felelős hatóságot haladéktalanul tájékoztatni kell, az adattovábbítást pedig megfelelően rögzíteni kell, és utólagos ellenőrzésnek kell alávetni.

(3)   A tagállamok PNR-adatokat harmadik országok illetékes hatóságai számára kizárólag az ezen irányelvvel összhangban álló feltételek mellett továbbíthatnak, és csak azt követően, hogy meggyőződtek arról, hogy a PNR-adatoknak a címzett hatóságok szándéka szerinti felhasználása megfelel e feltételeknek és biztosítékoknak.

(4)   Minden egyes esetben, amikor egy tagállam e cikk alapján PNR-adatokat továbbít, arról az adatokat továbbító tagállam utas-adat információs egységének adatvédelmi tisztviselőjét tájékoztatni kell.

12. cikk

Az adatmegőrzés időtartama és a személytelenítés

(1)   A tagállamok biztosítják, hogy a légi fuvarozók által az utas-adat információs egység részére szolgáltatott PNR-adatokat az utas-adat információs egységhez történő továbbításukat követően öt évig megőrizzék azon tagállam utas-adat információs egységének adatbázisában, amelynek a területén a légi járat leszállt vagy felszállt.

(2)   A PNR-adatoknak az (1) bekezdésben említett továbbítását követő hat hónap lejártával az összes PNR-adatot személyazonosításra alkalmatlanná kell tenni az azon utasok közvetlen beazonosítására alkalmas alábbi adatelemek elrejtése útján, akikre a PNR-adatok vonatkoznak:

| a) | név(nevek), beleértve a PNR-ban szereplő egyéb utasok nevei és az utas-nyilvántartási adatállomány szerint együtt utazó utazók száma; |
| --- | --- |

a)

név(nevek), beleértve a PNR-ban szereplő egyéb utasok nevei és az utas-nyilvántartási adatállomány szerint együtt utazó utazók száma;

| b) | cím és elérhetőség; |
| --- | --- |

b)

cím és elérhetőség;

| c) | kifizetésekhez kapcsolódó valamennyi adat, beleértve a számlázási cím, amennyiben olyan információt tartalmaz, amely alkalmas lehet azon utas közvetlen beazonosítására, akire a PNR-adatok vonatkoznak, illetve bármely más személy beazonosítására; |
| --- | --- |

c)

kifizetésekhez kapcsolódó valamennyi adat, beleértve a számlázási cím, amennyiben olyan információt tartalmaz, amely alkalmas lehet azon utas közvetlen beazonosítására, akire a PNR-adatok vonatkoznak, illetve bármely más személy beazonosítására;

| d) | törzsutas-adatok; |
| --- | --- |

d)

törzsutas-adatok;

| e) | általános megjegyzések, amennyiben olyan információt tartalmaznak, amely alkalmas lehet azon utas közvetlen beazonosítására, akire a PNR-adatok vonatkoznak; |
| --- | --- |

e)

általános megjegyzések, amennyiben olyan információt tartalmaznak, amely alkalmas lehet azon utas közvetlen beazonosítására, akire a PNR-adatok vonatkoznak;

| f) | minden összegyűjtött előzetes utas-információs adat. |
| --- | --- |

f)

minden összegyűjtött előzetes utas-információs adat.

(3)   A (2) bekezdésben említett hat hónap lejártával a teljes PNR-adatok közlése csak akkor engedélyezhető, ha

| a) | alapos okkal feltételezhető, hogy ez a 6. cikk (2) bekezdésének b) pontjában említett célból szükséges, és |
| --- | --- |

a)

alapos okkal feltételezhető, hogy ez a 6. cikk (2) bekezdésének b) pontjában említett célból szükséges, és

| b) | azt jóváhagyta:






  i. | egy igazságügyi hatóság, vagy |
| --- | --- | --- |

b)

azt jóváhagyta:

i.

egy igazságügyi hatóság, vagy

| ii. | a nemzeti jog alapján az adatok közlésére vonatkozó feltételek teljesülésének ellenőrzésére hatáskörrel rendelkező más nemzeti hatóság, ebben az esetben az utas-adat információs egység adatvédelmi tisztviselőjét erről tájékoztatni kell, és az adatvédelmi tisztviselő utólagos ellenőrizést végez. |
| --- | --- |

ii.

a nemzeti jog alapján az adatok közlésére vonatkozó feltételek teljesülésének ellenőrzésére hatáskörrel rendelkező más nemzeti hatóság, ebben az esetben az utas-adat információs egység adatvédelmi tisztviselőjét erről tájékoztatni kell, és az adatvédelmi tisztviselő utólagos ellenőrizést végez.

(4)   A tagállamok biztosítják, hogy a PNR-adatokat az (1) bekezdésben meghatározott időszak lejártával véglegesen törlik. Ez a kötelezettség nem érinti azokat az eseteket, amikor konkrét PNR-adatokat továbbítottak valamely illetékes hatóság számára, és azokat egy konkrét ügy összefüggésében terrorista bűncselekmény vagy súlyos bűncselekmény megelőzése, felderítése, nyomozása vagy üldözése céljából használják fel, amely esetben az ilyen adatok illetékes hatóság általi megőrzését a tagállam nemzeti joga szabályozza.

(5)   A 6. cikk (2) bekezdésének a) pontjában említett adatkezelés eredményét az utas-adat információs egység kizárólag addig őrzi meg, ameddig az az illetékes hatóságoknak és más tagállamok utas-adat információs egységeinek a 9. cikk (1) bekezdésével összhangban, a pozitív találatról történő tájékoztatása érdekében szükséges. Amennyiben egy automatizált adatkezelés eredménye a 6. cikk (5) bekezdésében említett, nem automatizált eszközökkel végzett egyedi felülvizsgálat alapján negatívnak bizonyul, az eredményt a későbbi „téves” pozitív találatok elkerülése érdekében továbbra is tárolni lehet mindaddig, ameddig az alapul szolgáló adatokat az e cikk (4) bekezdése alapján nem törlik.

13. cikk

A személyes adatok védelme

(1)   Valamennyi tagállam előírja, hogy a személyes adatok ezen irányelv szerinti kezelésének valamennyi formája vonatkozásában minden utast egyenlő jogok illetnek meg, nevezetesen a személyes adatok védelméhez való jog, a hozzáféréshez való jog, a helyesbítéshez, törléshez és a korlátozáshoz való jog, a kártérítéshez való jog és a bírósági jogorvoslathoz való jogok, az uniós és nemzeti jogszabályokban, valamint a 2008/977/IB kerethatározat 17., 18., 19. és 20. cikkének végrehajtása révén meghatározottaknak megfelelően. Az említett cikkeket következésképpen alkalmazni kell.

(2)   Valamennyi tagállam előírja, hogy a 2008/977/IB kerethatározat 21. és 22. cikkének végrehajtására szolgáló, az adatkezelés bizalmas jellegével és az adatbiztonsággal kapcsolatos nemzeti jogszabályi rendelkezéseket az ezen irányelv szerinti minden személyes adat kezelésére is alkalmazni kell.

(3)   Ez az irányelv nem érinti azt, hogy a 95/46/EK európai parlamenti és tanácsi irányelvet (13) kell alkalmazni a személyes adatok légi fuvarozók általi kezelésére, különös tekintettel azon kötelezettségükre, hogy a személyes adatok biztonsága és bizalmas kezelése érdekében meghozzák a megfelelő technikai és szervezési intézkedéseket.

(4)   A tagállamok megtiltják az olyan PNR-adatok kezelését, amelyek a személyek faji vagy etnikai hovatartozására, politikai véleményére, vallási vagy világnézeti meggyőződésére, szakszervezeti tagságára, egészségi állapotára, szexuális életére vagy szexuális irányultságára vonatkoznak. Amennyiben az utas-adat információs egység ilyen információt feltáró PNR-adatokat kap, azokat haladéktalanul törli.

(5)   A tagállamok biztosítják, hogy az utas-adat információs egység a felelősségi körébe tartozó összes adatkezelési rendszerről és eljárásról dokumentációt vezessen. A dokumentációnak legalább a következőket kell tartalmaznia:

| a) | az utas-adat információs egységen belül a PNR-adatok kezelésével megbízott szervezet és személyzet nevét és elérhetőségeit,és a hozzáférési jogosultság különböző szintjeit; |
| --- | --- |

a)

az utas-adat információs egységen belül a PNR-adatok kezelésével megbízott szervezet és személyzet nevét és elérhetőségeit,és a hozzáférési jogosultság különböző szintjeit;

| b) | az illetékes hatóságoktól és más tagállamok utas-adat információs egységeitől érkezett megkereséseket; |
| --- | --- |

b)

az illetékes hatóságoktól és más tagállamok utas-adat információs egységeitől érkezett megkereséseket;

| c) | a harmadik országok felé intézett összes megkeresést és adattovábbítást. |
| --- | --- |

c)

a harmadik országok felé intézett összes megkeresést és adattovábbítást.

Az utas-adat információs egység megkeresés alapján az összes ilyen dokumentációt a nemzeti felügyeleti hatóság rendelkezésére bocsátja.

(6)   A tagállamok biztosítják, hogy az utas-adat információs egység legalább a következő adatkezelési műveletekről nyilvántartást vezet: gyűjtés, betekintés, közlés és törlés. A betekintésre és a közlésre vonatkozó nyilvántartásnak különösen tartalmaznia kell e műveletek célját, dátumát és időpontját, valamint – lehetőség szerint – a PNR-adatba betekintő vagy azt közlő személy személyazonosságát és az ilyen adatok címzettjeinek személyazonosságát. A nyilvántartás kizárólag ellenőrzés, önellenőrzés, valamint az adatok sértetlenségének és biztonságának biztosítása céljából, illetve auditálásra használható fel. A nyilvántartást az utas-adat információs egység megkeresés alapján a nemzeti felügyeleti hatóság rendelkezésére bocsátja.

A nyilvántartást öt évig meg kell őrizni.

(7)   A tagállamok biztosítják, hogy utas-adat információs egységük megfelelő technikai és szervezési intézkedéseket és eljárásokat alkalmazzon a PNR-adatok kezelése és jellege által képviselt kockázatoknak megfelelő magas szintű biztonság biztosítása érdekében.

(8)   A tagállamok biztosítják, hogy amennyiben az adatvédelmi incidens várhatóan nagy kockázattal jár az érintett személyes adatainak védelmére vagy magánéletére nézve, az utas-adat információs egység az érintettet és a nemzeti adatvédelmi felügyelő hatóságot az adatvédelmi incidensről indokolatlan késedelem nélkül tájékoztassa.

14. cikk

Szankciók

A tagállamok megállapítják az ezen irányelv alapján elfogadott nemzeti rendelkezések megsértése esetén alkalmazandó szankciókra vonatkozó szabályokat, és meghoznak minden szükséges intézkedést azok végrehajtására.

A tagállamok így különösen szankciókat – ide értve a pénzbírságot is – állapítanak meg azon légi fuvarozókkal szemben, akik nem továbbítják a 8. cikkben előírt adatokat, vagy azokat nem az előírt formátumban továbbítják.

Az előírt szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük.

15. cikk

Nemzeti felügyeleti hatóság

(1)   Valamennyi tagállam előírja, hogy a 2008/977/IB kerethatározat 25. cikkében említett nemzeti felügyeleti hatóság felelős az ezen irányelv szerint elfogadott tagállami rendelkezéseknek a területén történő alkalmazásával kapcsolatos tanácsadásért és az alkalmazás ellenőrzéséért. A 2008/977/IB kerethatározat 25. cikkét alkalmazni kell.

(2)   Ezek a nemzeti felügyeleti hatóságok a személyes adatok kezeléséhez kapcsolódó alapvető jogok védelme érdekében, az (1) bekezdésben foglaltaknak megfelelően végzik tevékenységüket.

(3)   Minden nemzeti felügyeleti hatóság:

| a) | foglalkozik bármely érintett által benyújtott panasszal, kivizsgálja az ügyet, és ésszerű időn belül tájékoztatja az érintettet a panaszával kapcsolatos fejleményekről és annak eredményéről; |
| --- | --- |

a)

foglalkozik bármely érintett által benyújtott panasszal, kivizsgálja az ügyet, és ésszerű időn belül tájékoztatja az érintettet a panaszával kapcsolatos fejleményekről és annak eredményéről;

| b) | ellenőrzi az adatkezelés jogszerűségét, saját kezdeményezésre vagy az a) pontban említett panasz nyomán a nemzeti joggal összhangban vizsgálatokat, ellenőrzéseket és auditokat folytat le. |
| --- | --- |

b)

ellenőrzi az adatkezelés jogszerűségét, saját kezdeményezésre vagy az a) pontban említett panasz nyomán a nemzeti joggal összhangban vizsgálatokat, ellenőrzéseket és auditokat folytat le.

(4)   Az egyes nemzeti felügyeleti hatóságok – megkeresésre – bármely érintettnek az ezen irányelv szerint elfogadott rendelkezésekben meghatározott jogai gyakorlásával kapcsolatban tanácsot adnak.

III. FEJEZET

Végrehajtási intézkedések

16. cikk

Közös protokollok és támogatott adatformátumok

(1)   A légi fuvarozók által ezen irányelv alkalmazásában az utas-adat információs egység részére továbbított PNR-adatokat minden esetben elektronikus úton kell továbbítani, oly módon, hogy az kellő garanciát nyújtson az elvégzendő adatkezelésre irányadó technikai biztonsági intézkedések és szervezeti intézkedések tekintetében. Technikai hiba esetén a biztonság azonos szintjének fenntartása és az uniós adatvédelmi jog teljes körű tiszteletben tartása mellett a PNR-adatok bármilyen más megfelelő módon továbbíthatóak.

(2)   A (3) bekezdés szerinti közös protokollok és a támogatott adatformátumok Bizottság általi, első ízben történő elfogadása dátumától számított egy év elteltével az ezen irányelv alkalmazásában a légi fuvarozók által az utas-adat információs egység részére továbbított PNR-adatokat minden esetben elektronikus úton, az említett közös protokolloknak megfelelő biztonságos módon kell továbbítani. A PNR-adatok biztonságának a továbbítás során történő garantálása érdekében minden adattovábbításra közös protokollokat kell alkalmazni. A PNR-adatokat olyan támogatott adatformátumban kell továbbítani, amely biztosítja, hogy az adatokat valamennyi érintett fél olvasni képes. A légi fuvarozók kötelesek az utas-adat információs egység felé meghatározni azt a közös protokollt és adatformátumot, amelyet az adattovábbítás során használni kívánnak, és erről az utas-adat információs egységet tájékoztatják.

(3)   A Bizottság végrehajtási jogi aktusok útján összeállítja és amennyiben szükséges kiigazítja az elfogadott közös protokollok és a támogatott adatformátumok jegyzékét. Ezeket a végrehajtási jogi aktusokat a 17. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

(4)   Az (1) bekezdést kell alkalmazni, amíg a (2) és (3) bekezdésben említett közös protokollok és támogatott adatformátumok nem állnak rendelkezésre.

(5)   A (2) bekezdésben említett közös protokollok és támogatott adatformátumok elfogadását követő egy éven belül valamennyi tagállam biztosítja az ahhoz szükséges technikai intézkedések elfogadását, hogy képes legyen azok használatára.

17. cikk

A bizottsági eljárás

(1)   A Bizottságot egy bizottság segíti. Ez a bizottság a 182/2011/EU európai parlamenti és tanácsi rendelet értelmében vett bizottságnak minősül.

(2)   Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 5. cikkét kell alkalmazni.

Ha a bizottság nem nyilvánít véleményt, a Bizottság nem fogadhatja el a végrehajtási jogi aktus tervezetét, és a 182/2011/EU rendelet 5. cikke (4) bekezdésének harmadik albekezdése alkalmazandó.

IV. FEJEZET

Záró rendelkezések

18. cikk

Átültetés

(1)   A tagállamok hatályba léptetik azokat a törvényi, rendeleti és közigazgatási rendelkezéseket, amelyek szükségesek ahhoz, hogy ennek az irányelvnek 2018. május 25-ig megfeleljenek. Erről a Bizottságot haladéktalanul tájékoztatják.

Amikor a tagállamok elfogadják ezeket a rendelkezéseket, azokban hivatkozni kell erre az irányelvre, vagy azokhoz hivatalos kihirdetésük alkalmával ilyen hivatkozást kell fűzni. A hivatkozás módját a tagállamok határozzák meg.

(2)   A tagállamok közlik a Bizottsággal nemzeti joguk azon főbb rendelkezéseinek szövegét, amelyeket az ezen irányelv által szabályozott területen fogadnak el.

19. cikk

Felülvizsgálat

(1)   A tagállamok által szolgáltatott információk, többek között a 20. cikk (2) bekezdésében említett statisztikai információk alapján a Bizottság 2020. május 25-ig felülvizsgálatot végez ezen irányelv valamennyi eleme vonatkozásában, és jelentést nyújt be és terjeszt elő az Európai Parlamentnek és a Tanácsnak.

(2)   A Bizottság a felülvizsgálat során különös figyelmet szentel:

| a) | a személyes adatok védelmével kapcsolatos alkalmazandó normák betartásának; |
| --- | --- |

a)

a személyes adatok védelmével kapcsolatos alkalmazandó normák betartásának;

| b) | az ezen irányelv által meghatározott minden egyes célból történő PNR-adatok gyűjtése és kezelése szükségességének és arányosságának; |
| --- | --- |

b)

az ezen irányelv által meghatározott minden egyes célból történő PNR-adatok gyűjtése és kezelése szükségességének és arányosságának;

| c) | az adatmegőrzési időszak hosszának; |
| --- | --- |

c)

az adatmegőrzési időszak hosszának;

| d) | a tagállamok közötti információcsere hatékonyságának, és |
| --- | --- |

d)

a tagállamok közötti információcsere hatékonyságának, és

| e) | az értékelések minőségének, többek között a 20. cikk szerint gyűjtött statisztikai adatok tekintetében. |
| --- | --- |

e)

az értékelések minőségének, többek között a 20. cikk szerint gyűjtött statisztikai adatok tekintetében.

(3)   Az (1) bekezdésben említett jelentésben ismertetni kell annak a vizsgálatát is, hogy a PNR-adatok kötelező gyűjtése és továbbítása szükséges, arányos és hatékony lenne-e ezen irányelv hatályán belül az összes EU-n belüli légi járat vagy azok egy része tekintetében. A Bizottság figyelembe veszi a tagállamok tapasztalatait, különösen azon tagállamokéit, amelyek a 2. cikkel összhangban az EU-n belüli légi járatok vonatkozásában is alkalmazzák ezen irányelvet. A jelentésben meg kell vizsgálni azt is, hogy szükséges-e ezen irányelv hatálya alá vonni az utasok szállítását nem végző más gazdasági szereplőket, így például az utazási irodákat és utazással kapcsolatos szolgáltatásokat nyújtó, ideértve a járatfoglalásokat végző utazásszervezőket.

(4)   A Bizottság adott esetben, az e cikk szerint elvégzett felülvizsgálat függvényében, jogalkotási javaslatot nyújt be az Európai Parlamentnek és a Tanácsnak ezen irányelv módosítására.

20. cikk

Statisztikai adatok

(1)   A tagállamok évente a Bizottság rendelkezésére bocsátják az utas-adat információs egységek számára szolgáltatott PNR-adatokról összeállított statisztikai információkat. Ezek a statisztikák személyes adatokat nem tartalmazhatnak.

(2)   A statisztikáknak tartalmazniuk kell legalább a következőket:

| a) | az olyan utasok teljes számát, akiknek a PNR-adatait összegyűjtötték és kicserélték; |
| --- | --- |

a)

az olyan utasok teljes számát, akiknek a PNR-adatait összegyűjtötték és kicserélték;

| b) | az olyan utasok számát, akiket további ellenőrzés céljára kiválasztottak. |
| --- | --- |

b)

az olyan utasok számát, akiket további ellenőrzés céljára kiválasztottak.

21. cikk

Más jogi eszközökkel való kapcsolat

(1)   A tagállamok a közöttük 2016. május 24-én hatályban lévő, az illetékes hatóságok közötti információcserére vonatkozó kétoldalú vagy többoldalú megállapodásokat vagy megegyezéseket továbbra is alkalmazhatják, amennyiben ezek összeegyeztethetők ezzel az irányelvvel.

(2)   Ez az irányelv nem érinti azt, hogy a 95/46/EK irányelvet alkalmazni kell a személyes adatok légi fuvarozók általi kezelésére.

(3)   Ez az irányelv nem érinti a tagállamok vagy az Unió azon kötelezettségeit és kötelezettségvállalásait, amelyeket harmadik országokkal kötött kétoldalú vagy többoldalú megállapodások tartalmaznak.

22. cikk

Hatálybalépés

Ez az irányelv az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.

Európai Unió Hivatalos Lapjában

Ennek az irányelvnek a Szerződéseknek megfelelően a tagállamok a címzettjei.

Kelt Brüsszelben, 2016. április 27-én.

az Európai Parlament részéről

az elnök

M. SCHULZ

a Tanács részéről

az elnök

J.A. HENNIS-PLASSCHAERT

---

(1)  
  HL C 218., 2011.7.23., 107. o.

1

(2)  Az Európai Parlament 2016. április 14-i álláspontja (a Hivatalos Lapban még nem tették közzé) és a Tanács 2016. április 21-i határozata.

2

(3)  
  HL C 115., 2010.5.4., 1. o.

3

(4)  A Tanács 2004/82/EK irányelve (2004. április 29.) a fuvarozóknak az utasokkal kapcsolatos adatok közlésére vonatkozó kötelezettségéről (HL L 261., 2004.8.6., 24. o.).

4

(5)  A Tanács 2002/475/IB kerethatározata (2002. június 13.) a terrorizmus elleni küzdelemről (HL L 164., 2002.6.22., 3. o.).

5

(6)  Az Európai Parlament és a Tanács 182/2011/EU rendelete (2011. február 16.) a Bizottság végrehajtási hatásköreinek gyakorlására vonatkozó tagállami ellenőrzési mechanizmusok szabályainak és általános elveinek megállapításáról (HL L 55., 2011.2.28., 13. o.).

6

(7)  A Tanács 2009/371/IB határozata (2009. április 6.) az Európai Rendőrségi Hivatal (Europol) létrehozásáról (HL L 121., 2009.5.15., 37. o.).

7

(8)  A Tanács 2006/960/IB kerethatározata (2006. december 18.) az Európai Unió tagállamainak bűnüldöző hatóságai közötti, információ és bűnüldözési operatív információ cseréjének leegyszerűsítéséről (HL L 386., 2006.12.29., 89. o.).

8

(9)  A Tanács 2008/977/IB kerethatározata (2008. november 27.) a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről (HL L 350., 2008.12.30., 60. o.).

9

(10)  Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról (HL L 8., 2001.1.12., 1. o.).

10

(11)  Az Európai Parlament és a Tanács 2004/38/EK irányelve (2004. április 29.) az Unió polgárainak és családtagjaiknak a tagállamok területén történő szabad mozgáshoz és tartózkodáshoz való jogáról, valamint az 1612/68/EGK rendelet módosításáról, továbbá a 64/221/EGK, a 68/360/EGK, a 72/194/EGK, a 73/148/EGK, a 75/34/EGK, a 75/35/EGK, a 90/364/EGK, a 90/365/EGK és a 93/96/EGK irányelv hatályon kívül helyezéséről. (HL L 158., 2004.4.30., 77. o.).

11

(12)  Az Európai Parlament és a Tanács 562/2006/EK rendelete (2006. március 15.) a személyek határátlépésére irányadó szabályok közösségi kódexének (Schengeni határ-ellenőrzési kódex) létrehozásáról (HL L 105., 2006.4.13., 1. o.).

12

(13)  Az Európai Parlament és a Tanács 95/46/EK irányelve (1995. október 24.) a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (HL L 281., 1995.11.23., 31. o.).

13

---

I. MELLÉKLET

A légi fuvarozók által összegyűjtött utas-nyilvántartási adatállomány

| 1. | Nyilvántartási helymeghatározó kód (PNR rekord lokátor) |
| --- | --- |

1.

Nyilvántartási helymeghatározó kód (PNR rekord lokátor)

| 2. | Helyfoglalás/jegykiállítás dátuma |
| --- | --- |

2.

Helyfoglalás/jegykiállítás dátuma

| 3. | A tervezett utazás dátuma(i) |
| --- | --- |

3.

A tervezett utazás dátuma(i)

| 4. | Név (nevek) |
| --- | --- |

4.

Név (nevek)

| 5. | Cím és elérhetőségre vonatkozó információk (telefonszám, e-mail cím) |
| --- | --- |

5.

Cím és elérhetőségre vonatkozó információk (telefonszám, e-mail cím)

| 6. | A fizetésekhez kapcsolódó valamennyi információ, beleértve a számlázási címet is |
| --- | --- |

6.

A fizetésekhez kapcsolódó valamennyi információ, beleértve a számlázási címet is

| 7. | Az utazás teljes útvonala az adott utas-nyilvántartási adatállomány vonatkozásában |
| --- | --- |

7.

Az utazás teljes útvonala az adott utas-nyilvántartási adatállomány vonatkozásában

| 8. | Törzsutas-adatok |
| --- | --- |

8.

Törzsutas-adatok

| 9. | Utazási iroda/utazásközvetítő |
| --- | --- |

9.

Utazási iroda/utazásközvetítő

| 10. | Az „utas utazási státusa”, ideértve a visszaigazolásokat, az utasfelvételi státust, a jegykezelésre nem jelentkezett (no show)/foglalás nélkül utazó utasokra (go show) vonatkozó adatot |
| --- | --- |

10.

Az „utas utazási státusa”, ideértve a visszaigazolásokat, az utasfelvételi státust, a jegykezelésre nem jelentkezett (no show)/foglalás nélkül utazó utasokra (go show) vonatkozó adatot

| 11. | Megosztott/szétosztott PNR-információ |
| --- | --- |

11.

Megosztott/szétosztott PNR-információ

| 12. | Általános megjegyzések (beleértve a felügyelet nélkül utazó, 18 év alatti kiskorúakra vonatkozó minden rendelkezésre álló információt, így a kiskorú nevét és nemét, életkorát, az általa beszélt nyelvet vagy nyelveket, az indulási oldalon megjelent gondviselő nevét és elérhetőségét, valamint a kiskorúhoz fűződő kapcsolatát, az érkezési oldalon a kiskorút váró gondviselő nevét és elérhetőségét, valamint a kiskorúhoz fűződő kapcsolatát, az indulási és az érkezési oldalon megbízott személyt) |
| --- | --- |

12.

Általános megjegyzések (beleértve a felügyelet nélkül utazó, 18 év alatti kiskorúakra vonatkozó minden rendelkezésre álló információt, így a kiskorú nevét és nemét, életkorát, az általa beszélt nyelvet vagy nyelveket, az indulási oldalon megjelent gondviselő nevét és elérhetőségét, valamint a kiskorúhoz fűződő kapcsolatát, az érkezési oldalon a kiskorút váró gondviselő nevét és elérhetőségét, valamint a kiskorúhoz fűződő kapcsolatát, az indulási és az érkezési oldalon megbízott személyt)

| 13. | Jegykiállítással kapcsolatos adatok, úgymint a jegy sorszáma, a jegykiállítás és az egy útra szóló jegyek dátuma, automatikus árlekérdezés |
| --- | --- |

13.

Jegykiállítással kapcsolatos adatok, úgymint a jegy sorszáma, a jegykiállítás és az egy útra szóló jegyek dátuma, automatikus árlekérdezés

| 14. | Az ülőhely száma és egyéb ülőhely-információk |
| --- | --- |

14.

Az ülőhely száma és egyéb ülőhely-információk

| 15. | Megosztott járattal kapcsolatos adatok |
| --- | --- |

15.

Megosztott járattal kapcsolatos adatok

| 16. | Valamennyi poggyászra vonatkozó információ |
| --- | --- |

16.

Valamennyi poggyászra vonatkozó információ

| 17. | Az egy PNR-hoz kapcsolódó egyéb utazók száma és neve |
| --- | --- |

17.

Az egy PNR-hoz kapcsolódó egyéb utazók száma és neve

| 18. | Minden összegyűjtött előzetes utasinformációs (API) adat (beleértve a személyi okmány típusát, számát, kiállító országát és lejárati idejét, az állampolgárságot, családi nevet, utónevet, nemet, születési időt, légitársaságot, járatszámot, az indulás dátumát, az érkezés dátumát, az indulási repülőteret, az érkezési repülőteret, az indulási időt és az érkezési időt) |
| --- | --- |

18.

Minden összegyűjtött előzetes utasinformációs (API) adat (beleértve a személyi okmány típusát, számát, kiállító országát és lejárati idejét, az állampolgárságot, családi nevet, utónevet, nemet, születési időt, légitársaságot, járatszámot, az indulás dátumát, az érkezés dátumát, az indulási repülőteret, az érkezési repülőteret, az indulási időt és az érkezési időt)

| 19. | Az 1–18. pontban megjelölt PNR-adatok összes korábbi módosítása. |
| --- | --- |

19.

Az 1–18. pontban megjelölt PNR-adatok összes korábbi módosítása.

---

II. MELLÉKLET

A 3. cikk (9) pontjában említett bűncselekmények listája

| 1. | bűnszervezetben való részvétel; |
| --- | --- |

1.

bűnszervezetben való részvétel;

| 2. | emberkereskedelem; |
| --- | --- |

2.

emberkereskedelem;

| 3. | gyermekek szexuális kizsákmányolása és gyermekpornográfia; |
| --- | --- |

3.

gyermekek szexuális kizsákmányolása és gyermekpornográfia;

| 4. | kábítószerek és pszichotróp anyagok tiltott kereskedelme; |
| --- | --- |

4.

kábítószerek és pszichotróp anyagok tiltott kereskedelme;

| 5. | fegyverek, lőszerek és robbanóanyagok tiltott kereskedelme; |
| --- | --- |

5.

fegyverek, lőszerek és robbanóanyagok tiltott kereskedelme;

| 6. | korrupció; |
| --- | --- |

6.

korrupció;

| 7. | csalás, ideértve az Unió pénzügyi érdekeit sértő csalást is; |
| --- | --- |

7.

csalás, ideértve az Unió pénzügyi érdekeit sértő csalást is;

| 8. | bűncselekményből származó jövedelem tisztára mosása és pénzhamisítás, beleértve az eurohamisítást is; |
| --- | --- |

8.

bűncselekményből származó jövedelem tisztára mosása és pénzhamisítás, beleértve az eurohamisítást is;

| 9. | számítógépes bűncselekmény/kiberbűnözés; |
| --- | --- |

9.

számítógépes bűncselekmény/kiberbűnözés;

| 10. | környezetkárósító bűnözés, beleértve a veszélyeztetett állatfajok, valamint a veszélyeztetett növényfajok és -fajták tiltott kereskedelmét; |
| --- | --- |

10.

környezetkárósító bűnözés, beleértve a veszélyeztetett állatfajok, valamint a veszélyeztetett növényfajok és -fajták tiltott kereskedelmét;

| 11. | jogellenes beutazás és tartózkodás elősegítése; |
| --- | --- |

11.

jogellenes beutazás és tartózkodás elősegítése;

| 12. | szándékos emberölés, súlyos testi sértés; |
| --- | --- |

12.

szándékos emberölés, súlyos testi sértés;

| 13. | emberi szervek és szövetek tiltott kereskedelme; |
| --- | --- |

13.

emberi szervek és szövetek tiltott kereskedelme;

| 14. | emberrablás, személyi szabadság megsértése és túszejtés; |
| --- | --- |

14.

emberrablás, személyi szabadság megsértése és túszejtés;

| 15. | szervezett és fegyveres rablás; |
| --- | --- |

15.

szervezett és fegyveres rablás;

| 16. | kulturális javak – ezen belül régiségek és műtárgyak – tiltott kereskedelme; |
| --- | --- |

16.

kulturális javak – ezen belül régiségek és műtárgyak – tiltott kereskedelme;

| 17. | termékhamisítás és szerzői jog megsértése; |
| --- | --- |

17.

termékhamisítás és szerzői jog megsértése;

| 18. | okmányhamisítása és hamisított okmányokkal való kereskedelem; |
| --- | --- |

18.

okmányhamisítása és hamisított okmányokkal való kereskedelem;

| 19. | hormontartalmú anyagok és más növekedésserkentők tiltott kereskedelme; |
| --- | --- |

19.

hormontartalmú anyagok és más növekedésserkentők tiltott kereskedelme;

| 20. | nukleáris vagy radioaktív anyagok tiltott kereskedelme; |
| --- | --- |

20.

nukleáris vagy radioaktív anyagok tiltott kereskedelme;

| 21. | erőszakos nemi közösülés; |
| --- | --- |

21.

erőszakos nemi közösülés;

| 22. | a Nemzetközi Büntetőbíróság joghatósága alá tartozó bűncselekmények; |
| --- | --- |

22.

a Nemzetközi Büntetőbíróság joghatósága alá tartozó bűncselekmények;

| 23. | légi jármű/hajó jogellenes hatalomba kerítése; |
| --- | --- |

23.

légi jármű/hajó jogellenes hatalomba kerítése;

| 24. | szabotázs; |
| --- | --- |

24.

szabotázs;

| 25. | lopott gépjárművek kereskedelme; |
| --- | --- |

25.

lopott gépjárművek kereskedelme;

| 26. | ipari kémkedés. |
| --- | --- |

26.

ipari kémkedés.

---